Google a lancé ses correctifs de sécurité mensuels pour le système Android, résolvant 46 vulnérabilités logicielles récemment découvertes. Parmi elles, trois failles de sécurité ont été activement manipulées dans le cadre de cyberattaques ciblées.

La vulnérabilité étiquetée CVE-2023-26083 est un problème de fuite de mémoire dans le pilote du GPU Arm Mali applicable aux puces Bifrost, Avalon et Valhall. Cette faiblesse a déjà été manipulée lors d’une attaque qui a conduit à une intrusion de logiciels espions dans des gadgets Samsung en décembre 2022.

Cette faille a été jugée si grave que l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA) s’est sentie obligée de demander aux agences fédérales d’appliquer un correctif de sécurité en avril 2023.

Une autre vulnérabilité unique, référencée comme CVE-2021-29256, est un problème de haute priorité qui affecte certains modèles de pilotes de noyau de GPU Arm Mali Bifrost et Midgard. Ce problème permet à un utilisateur non privilégié d’accéder illégitimement à des informations confidentielles et d’élever ses privilèges au niveau de la racine.

Lire aussi : « Threads vs. Twitter : Lequel recueille le plus de données ? »

La troisième vulnérabilité manipulée, CVE-2023-2136, est un bogue à fort impact découvert dans Skia, la bibliothèque graphique 2D multiplateforme open-source de Google. Elle a été initialement révélée comme une vulnérabilité zero-day dans le navigateur Chrome et permet à un attaquant distant qui a pris le contrôle du processus de rendu d’échapper aux restrictions du bac à sable et de mettre en œuvre un code à distance sur les gadgets Android.

En outre, l’annonce de sécurité Android de juillet de Google attire l’attention sur une autre vulnérabilité à haut risque, CVE-2023-21250, qui affecte le composant du système Android. Ce problème peut faciliter l’exécution de code à distance sans intervention de l’utilisateur ni autorisations d’exécution supplémentaires, ce qui le rend particulièrement dangereux.

Ces correctifs de sécurité sont diffusés en deux étapes. La première phase de correctifs, publiée le 1er juillet, met l’accent sur les éléments essentiels d’Android, en corrigeant 22 failles de sécurité dans les composants « Framework » et « System ».

La deuxième phase de correctifs, introduite le 5 juillet, vise le noyau et les composants propriétaires, et résout 20 vulnérabilités dans les composants Kernel, Arm, Imagination Technologies, MediaTek et Qualcomm.

Les effets des vulnérabilités résolues pourraient aller au-delà des versions d’Android officiellement prises en charge (11, 12 et 13) et avoir un impact potentiel sur des versions plus anciennes du système d’exploitation qui ne bénéficient plus d’une prise en charge officielle.

En outre, Google a également déployé des correctifs de sécurité spécialisés pour ses appareils Pixel, corrigeant 14 vulnérabilités dans les composants Kernel, Pixel et Qualcomm. Deux de ces failles hautement prioritaires pourraient conduire à une escalade des privilèges et à des attaques par déni de service.