Faille Exynos : les smartphones Samsung, Google et Vivo en danger

Prudence si vous possédez un smartphone Samsung, Vivo ou Google ! De graves failles de sécurité ont été identifiées sur des modèles populaires, certaines permettant de récupérer des données sensibles via un simple appel téléphonique !

Attention si vous possédez des appareils Samsung, Vivo ou Google ! L'équipe Project Zero – des chercheurs en sécurité de Google – a annoncé dans un communiqué avoir découvert pas moins de 18 vulnérabilités affectant les modems des puces Samsung Exynos. Des failles dites zero-day, qui n'ont pas fait l'objet de publication et qui n'ont donc pas encore de correctif. On retrouve ce composant dans certains smartphones Samsung, mais aussi dans des Google Pixel, de nombreux smartphones Vivo, des montres connectées, et même des voitures – pour avoir une connexion 5G.

Failles Exynos : des vulnérabilités non corrigées

Si la plupart des failles ne sont pas très inquiétantes, quatre d'entre elles sont en revanche particulièrement critiques. En effet, "nous pensons que des attaquants qualifiés seraient en mesure de créer rapidement un exploit opérationnel pour compromettre les appareils concernés en silence et à distance", craint Project Zero. En clair, il suffit que le pirate connaisse le numéro de téléphone de la victime et appelle cette dernière pour voler des données sensibles et prendre le contrôle de l'appareil. Les autres failles ne sont pas aussi graves, car elles nécessitent "soit un opérateur de réseau mobile malveillant, soit un attaquant disposant d'un accès local à l'appareil". Voici la liste de ceux vulnérables :

Les smartphones Samsung Galaxy S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 et A04 ;
Les smartphones Vivo S16, S15, S6, X70, X60 et X30 ;
Les smartphones Google Pixel 6 et Pixel 7 ;
Les montres connectées dotées de la puce Exynos W920 : les Galaxy Watch 4, Galaxy Watch 4 Classic, Galaxy Watch 5 et Galaxy Watch 5 Pro ;
Les véhicules équipés de la puce Exynos Auto T5123.

Failles Exynos : comment se protéger des pirates ?

Pour éviter tout risque, Tim Willis, le responsable du projet zéro de Google, exhorte les utilisateurs à "mettre à jour leurs appareils dès que possible, afin de s'assurer qu'ils utilisent les dernières versions qui corrigent les vulnérabilités de sécurité divulguées et non divulguées" – un conseil qui ne s'applique pas seulement dans ce cas-ci en particulier, mais de façon générale d'ailleurs. D'après les équipes de Project Zero, Google a d'ores et déjà corrigé le problème pour les smartphones concernés avec le correctif de sécurité de mars 2023. En revanche, Samsung et Vivo ne semblent toujours pas avoir réagi, alors que certains problèmes ont été signalés il y a plus de 90 jours...

Afin de laisser le temps aux constructeurs de développer leurs patchs de sécurité, les chercheurs laissent un délai de trois mois entre le signalement des failles et la divulgation de détails techniques plus précis. Pour protéger les utilisateurs et ne pas donner aux cybercriminels le moyen de pirater les appareils – il ne manquerait plus que ça ! –, Project Zero a décidé de passer les détails de 4 vulnérabilités particulièrement graves sous silence. L'équipe a toutefois tenu à prévenir qu'ils seront révélés dans les prochaines semaines, que les entreprises touchées délivrent ou non des correctifs à leurs utilisateurs.

-Si jamais vous possédez un des appareils cités ci-dessus et qu'aucun patch de sécurité n'a été proposé, il existe un moyen temporaire de vous protéger. En effet, vous devez désactiver les appels Wi-Fi et VoLTE – une technologie qui permet de passer des appels directement via le réseau mobile LTE/4G – dans les paramètres de votre appareil. Cela risque cependant de réduire de réduire la qualité de vos appels et d'augmenter le temps d'établissement de ces derniers. Enfin, restez à l'affût de futures mises à jour et correctifs de sécurité.