Le pot aux roses a été découvert par Oversecured, comme le rapporte TechCrunch. Les analyses ont été menées sur un Galaxy S10+, mais tous les smartphones et tablettes sont potentiellement concernés puisqu'il s’agit d’applications intégrées qui sont responsables du fonctionnement du système.
En détournant les autorisations accordées aux applications, une personne mal intentionnée pourrait récupérer les photos, contacts, enregistrement d’appels et messages. Des failles étaient en lien avec le Secure Folder de Samsung et le Knox Core, qui disposent tous les deux de droits élevés.
Les vulnérabilités ont été signalées en amont à Samsung, qui a déployé des correctifs en avril et en mai. Le fabricant ajoute qu’il n’y a eu, à sa connaissance, aucune exploitation de ces brèches.
Tous les détails techniques se trouvent dans ce billet de blog d’Oversecured.
Commentaires (15)
#1
Mises à jour déployées sur TOUS les téléphones concernés ? Ou seulement les derniers modèles ?
#2
Ce sont des mises à jours à faire via le Galaxy Store, donc tous les smartphones à priori.
#2.1
Merci pour cette précision
Ça m’apprendra à être mauvaise langue sans vraiment chercher
#3
Après y’a ptete des composants à mettre à jour dabs la partition system, je ne sais pas.
Mais si c’est Knox, ça se fait comme une MAJ du PlayStore. Après c’est précisé “Knox Core” donc ça laisse un doute.
#4
Après, je ne suis pas concerné mais c’est bien d’apprendre des nouveaux trucs.
#5
Mobiles Samsung: des failles de sécurité dans les applications mobiles
préinstallées.Mobiles Samsung: des failles de sécurité
dans les applications mobiles.Mobiles
Samsung: des failles de sécurité.Mobiles: des failles de sécurité.
Voila. C’est moins précis mais tout aussi vrai.
#5.1
Ouais bien résumé. Surtout quand tu prends en compte la durée du support du tel par le constructeur qui ne va guère au delà de 2-3 ans (sauf chez apple il me semble ou la prise en charge dure quelques années de plus). A ce niveau là c’est quasiment de l’obsolescence programmée (en tout cas au moins une incitation à très vite changer de matériel) pour quiconque doit ou veut faire attention à la sécurité.
D’ailleurs une idée d’article pour nextinpact serait de comparer la durée du support chez les différents constructeurs de smartphone. ça leur ferait les pieds de ramener une partie de la clientèle chez ceux qui sont le plus sérieux de ce côté là.
#5.2
Sachant que les banques comptent sur leurs applis bancaires (souvent uniquement disponibles via les google et apple store…) pour sécuriser les paiements en ligne, on est vraiment mal !
#6
Je vote pour que TOUS les constructeurs d’androphone fournissent le moyen d’installer un android vanilla (=procédure + image).
#6.1
Déjà avoir le bootloader débloqué par défaut serait une révolution. Une vraie.
Pour flasher un Pinephone, il suffit de le faire démarrer avec une image Jumpdrive sur la carte SD et il présente sa mémoire interne en USB. A partir de là, un simple
dddessus et on en parle plus.Le jour où on aura droit à ça sur les smartphones du marché, je considérerai alors qu’ils sont smart. En l’état, nos “smart” phones ne sont que des terminaux débiles dépourvus d’intelligence sans aucune maîtrise pour consommer passivement. Des dumbphones.
#6.2
tout à fait, mais les banques ne développent pas leurs applis pour ces systèmes d’exploitation.
#7
Mon téléphone perso est un Xperia XZ1 compact, sorti en 2017, dernière mise à jour il y a 2 mois.
Mon téléphone pro est un Samsung A8, sorti en 2018, dernière mise à jour en mai.
#8
Quand on connaît le sérieux sécuritaire de Samsung avec Tizen, pourquoi je ne suis pas étonné…
https://www.frandroid.com/culture-tech/os/tizen-2⁄421181_un-expert-en-securite-trouve-40-failles-0-day-sur-tizen-le-systeme-dexploitation-de-samsung
#9
Sur bien d’autres équipements on s’offusquerait que le secure boot ou TPM ne seraient pas implémentés.
Je trouve que la politique de Sony est pas trop mal puisque tu peux déverrouiller le boot loader via fastboot en utilisant une clé disponible sur leur site.
Au final, c’est un besoin de bien peu d’utilisateurs.
#10
Si ils pouvaient corriger ça au passage : vert