Une faille zero-day repérée sur des smartphones Pixel, Samsung, Huawei et Xiaomi

Plusieurs modèles de smartphones populaires (Samsung Galaxy S7,S8, S9, Huawei P20, Redmi Note 5...) sont vulnérables à une faille de sécurité jugée critique par les équipes d'Android.

Une faille de sécurité a été repérée sur le système d'exploitation mobile Android, alerte la chercheuse en sécurité Maddie Stone, membre du groupe de recherche de Google Project Zero. La vulnérabilité est activement exploitée par des pirates et leur permet de prendre le contrôle total des appareils concernés.

De nombreux smartphones vulnérables

Au moins 18 modèles de smartphones des marques Pixel, Samsung, Huawei, Xiaomi, Oppo, Motorola et LG sont victimes de cette faille de sécurité. Retrouvez la liste (non-exhaustive) ci-dessous :


Les chercheurs ayant découvert la faille précisent qu'il n'y a pas spécialement besoin de compétences très élevées pour rooter les téléphones vulnérables. Il existe deux manières d'exploiter la faille : en faisant installer une application non approuvée à la cible, ou via une attaque web, en combinant la faille avec l'exploitation d'une deuxième vulnérabilité présente dans l'outil de restitution du contenu du navigateur Chrome.

Une mise à jour de sécurité est en route

Selon Maddie Stone, la faille a notamment été exploitée par la société NSO Group, qui développe et vend des logiciels espions à des gouvernements. L'entreprise israélienne, connue pour être à l'origine du spyware Pegasus, a démenti ces accusations.

L'équipe d'Android considère le problème comme hautement critique et travaille au déploiement d'un correctif. La faille sera donc comblée par la mise à jour de sécurité du mois d'octobre 2019. C'est une question de jours avant que cette dernière ne soit disponible sur les Pixel, mais prendra un peu plus de temps avant d'arriver sur les autres modèles. On pense notamment aux smartphones de LG qui sont encore sous Android Oreo. À noter que les séries de Pixel 3 et 3a, les seules de la gamme qui sont officiellement disponibles en France, ne sont pas vulnérables à cette faille.

Source : ArsTechnica