Connect with us

Technologie

La vulnérabilité des puces Qualcomm met en danger des millions de téléphones

Published

on


Les appareils intelligents de Google, LG, OnePlus, Samsung et Xiaomi sont en danger de compromis par les cybercriminels après 400 sections de code vulnérables ont été découverts sur Qualcomm Snapdragon processeur de signal numérique (DSP) puce, qui fonctionne sur plus de 40% de la succession Android mondiale.

Les vulnérabilités ont été découvertes par Check Point, qui a déclaré que pour exploiter les vulnérabilités, un acteur malveillant aurait simplement besoin de convaincre leur cible d’installer une application simple et bénigne sans autorisations du tout.

Les vulnérabilités laissent les smartphones touchés au risque d’être repris et utilisé pour espionner et suivre leurs utilisateurs, ayant des logiciels malveillants et d’autres codes malveillants installés et cachés, et même d’être briques pure et simple, a déclaré Yaliv Balmas, Check Point chef de la cyber-recherche.

Bien qu’ils aient été communiqués de manière responsable à Qualcomm, qui les a reconnus, ont informé les fournisseurs concernés et émis un certain nombre d’alertes – CVE-2020-11201, CVE-2020-11202, CVE-2020-11206, CVE-2020-11207, CVE-2020-11208 et CVE-2020-11209 – Balmas a averti que l’ampleur du problème pourrait prendre des mois, voire des années à résoudre.

« Bien que Qualcomm a résolu le problème, ce n’est malheureusement pas la fin de l’histoire », at-il dit. « Des centaines de millions de téléphones sont exposés à ce risque de sécurité. On peut t’espionner. Vous pouvez perdre toutes vos données. Nos recherches montrent l’écosystème complexe du monde mobile. Avec une longue chaîne d’approvisionnement intégrée dans chaque téléphone, il n’est pas anodin de trouver des problèmes profondément cachés dans les téléphones mobiles, mais il n’est pas non plus trivial de les corriger.

« Heureusement, cette fois, nous avons pu repérer ces problèmes. Mais nous supposons qu’il faudra des mois, voire des années, pour les atténuer complètement. Si de telles vulnérabilités sont trouvées et utilisées par des acteurs malveillants, il y aura des dizaines de millions d’utilisateurs de téléphones mobiles qui n’auront presque aucun moyen de se protéger pendant très longtemps.

Balmas a ajouté : « Il appartient maintenant aux fournisseurs d’intégrer ces correctifs dans l’ensemble de leurs lignes téléphoniques, tant dans la fabrication que sur le marché. Notre estimation est qu’il faudra un certain temps pour que tous les fournisseurs intègrent les correctifs dans tous leurs téléphones.

Il a déclaré que les vulnérabilités du DSP représentaient une nouvelle frontière d’attaque « sérieuse » pour les cybercriminels, introduisant de nouvelles surfaces d’attaque et des points faibles pour les dispositifs touchés. C’est parce que les puces DSP sont gérées comme soi-disant « Boîtes noires » par Qualcomm et il peut être très complexe pour n’importe qui d’autre que Qualcomm pour examiner leur conception, fonctionnalité ou code. Cela les rend particulièrement plus vulnérables aux risques.

À ce moment-là, a déclaré Balmas, Check Point n’a pas senti que la publication des détails techniques des vulnérabilités était une action responsable, étant donné le risque élevé de détails utilisés pour créer des exploits.

« Pour l’instant, les consommateurs doivent attendre que les fournisseurs concernés mettent également en œuvre des correctifs », a-t-il dit. « Check Point offre une protection pour ces vulnérabilités grâce à notre solution de protection mobile. »

Balmas et son équipe ont exposé leurs recherches sur les puces de Qualcomm dans un document intitulé Porte DSP, qui est présenté à Def Con 2020, qui cette année est en cours d’exécution en ligne, en raison de la pandémie Covide-19, comme Def Con Safe Mode.

Un porte-parole de Qualcomm a déclaré : « Fournir des technologies qui soutiennent une sécurité et une protection de la vie privée solides est une priorité pour Qualcomm. En ce qui concerne la vulnérabilité de Qualcomm Compute DSP divulguée par Check Point, nous avons travaillé avec diligence pour valider le problème et mettre les mesures d’atténuation appropriées à la disposition des équipementiers. Nous n’avons aucune preuve qu’il est actuellement exploité. Nous encourageons les utilisateurs finaux à mettre à jour leurs appareils au fur et à mesure que les correctifs deviennent disponibles et à installer uniquement des applications à partir d’emplacements approuvés tels que le Google Play Store.

Click to comment

Leave a Reply

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Tendance