Des millions de smartphones Android sont touchés par une grave faille de sécurité

Des experts de sécurité ont détecté une grave vulnérabilité dans des millions de smartphones et de tablettes équipés de puces Qualcomm, dont les fameux Snapdragon. Mettez à jour votre appareil dès que le correctif sera disponible !

Une faille de sécurité critique a été découverte dans les smartphones Android équipés de certaines puces fabriquées par Qualcomm. Connue sous le nom de CVE-2024-43047, cette vulnérabilité affecte des millions d'utilisateurs à travers le monde. Elle a permis à des hackers d'exploiter des smartphones en ciblant des appareils précis avant que le problème ne soit identifié. Qualcomm, qui fabrique ces puces, a confirmé la menace et a commencé à déployer des correctifs pour protéger les appareils vulnérables.

Cette faille zero-day, c'est-à-dire une vulnérabilité inconnue des développeurs au moment de son exploitation, a été signalée pour la première fois par Google Project Zero, une équipe d'experts en cybersécurité spécialisée dans la recherche de failles critiques, et par Amnesty International Security Lab, qui se consacre à la protection des droits numériques et à la lutte contre la surveillance. Leur travail conjoint a permis de découvrir que la faille avait déjà été utilisée par des hackers dans des attaques limitées et ciblées. Ces campagnes de piratage visaient des individus spécifiques, mais il reste difficile de savoir exactement qui étaient les cibles et dans quel but ces attaques ont été menées.

Faille Qualcomm : 64 modèles de puces concernés

Comme le rapporte le site spécialisé TechCrunch, cette faille affecte 64 modèles de processeurs Qualcomm, parmi lesquels des puces très répandues, comme le Snapdragon 8 Gen 1, utilisée dans plusieurs smartphones populaires. Parmi les appareils touchés figurent des modèles de marques bien connues comme Samsung, Xiaomi, OnePlus, Oppo, et Motorola. Des smartphones et des tablettes phares comme le Xiaomi 12, le Samsung Galaxy Tab S8, le OnePlus 10 Pro ou encore le Sony Xperia 1 IV, tous sortis en 2022, sont potentiellement vulnérables.

La vulnérabilité permet à des attaquants d'accéder à la mémoire des appareils infectés, exposant ainsi les utilisateurs à des risques de corruption de données ou de vol d'informations personnelles. Cependant, les attaques semblent avoir été limitées, selon les experts de Google et d'Amnesty, ce qui suggère que les pirates ciblaient des individus spécifiques plutôt que de lancer des attaques massives.

Faille Qualcomm : un correctif déployé progressivement

Face à la gravité de la situation, Qualcomm a rapidement réagi. Dans un bulletin de sécurité publié le 7 octobre 2024, l'entreprise américaine détaille les problèmes causés par la faille. Surtout, elle indique avoir commencé à déployer des correctifs pour corriger cette vulmnérabilité. Ces correctifs ont été envoyés aux fabricants de smartphones, qui utilisent les puces vulnérables dans leurs appareils. Il appartient désormais à ces fabricants, parmi lesquels on retrouve Samsung, Xiaomi, OnePlus, et Motorola, de diffuser les mises à jour de sécurité à leurs clients.

Le déploiement des correctifs peut toutefois prendre du temps. Chaque fabricant de smartphones doit adapter les mises à jour de Qualcomm à ses propres appareils avant de les distribuer via des mises à jour logicielles. Ce processus peut varier en fonction des marques et des modèles. Par exemple, certains téléphones plus anciens peuvent ne pas recevoir le correctif immédiatement, ou même du tout, si les fabricants décident de ne plus les mettre à jour.

Il est donc essentiel pour les utilisateurs concernés de vérifier régulièrement la disponibilité des mises à jour logicielles sur leurs appareils. En règle générale, les smartphones Android sont configurés pour installer automatiquement les mises à jour de sécurité, mais certains utilisateurs peuvent avoir désactivé cette option. Si un correctif de sécurité est disponible, il est vivement recommandé de l'installer immédiatement pour éviter toute exploitation future de la faille.

Faille Qualcomm : les experts internationaux inquiets

La découverte de cette vulnérabilité a également mobilisé plusieurs agences de cybersécurité à travers le monde. Aux États-Unis, l'Agence de cybersécurité et de sécurité des infrastructures (CISA) a rapidement ajouté la faille à sa liste des vulnérabilités connues et exploitées. Elle a conseillé à Qualcomm et aux fabricants de smartphones de mettre en place des mesures correctives d'ici la fin du mois d'octobre 2024. En France, le CERT Santé, qui surveille les menaces de cybersécurité pour les systèmes de santé, a également émis des alertes concernant cette faille, soulignant les risques potentiels pour la confidentialité des données, même si ces risques restent relativement faibles pour le grand public.

Bien que des correctifs aient été rapidement déployés, le problème n'est pas totalement résolu tant que tous les appareils vulnérables n'ont pas reçu la mise à jour de sécurité. De plus, il reste des incertitudes quant à l'étendue de l'exploitation de cette faille. Les enquêtes menées par Google et Amnesty International sont toujours en cours, et il n'est pas exclu que d'autres attaques ou tentatives d'exploitation de cette faille aient lieu avant que tous les appareils soient protégés.