Android a corrigé 54 failles au mois d’Août

Google a patché des failles graves et critiques liées à 54 CVE dans le bulletin de sécurité Android de ce mois-ci.

Google a publié des correctifs pour résoudre un problème de haute gravité dans son composant Framework, qui, s’il était exploité, pourrait permettre l’exécution de code à distance (RCE) sur les appareils mobiles Android.

Au total, 54 failles de haute gravité ont été corrigées dans le cadre des mises à jour de sécurité de Google du mois d’août pour le système d’exploitation Android. Qualcomm, dont les puces sont utilisées dans les appareils Android, a corrigé un mélange de vulnérabilités de gravité élevée et critique liées à 31 CVE.

La faille d’exécution de code à distance, la plus grave de ces failles, existe dans le framework Android, qui est un ensemble d’API – composé d’outils système et d’outils de conception d’interface utilisateur – qui permettent aux développeurs d’écrire rapidement et facilement des applications pour les téléphones.

La faille (CVE-2020-0240) «pourrait permettre à un attaquant distant utilisant un fichier spécialement conçu d’exécuter du code arbitraire dans le contexte d’un processus non privilégié», selon le bulletin de sécurité de Google. La faille a été corrigé pour les appareils utilisant la version 10 du système d’exploitation Android.

android

Les autres failles de haute gravité dans le framework incluent deux vulnérabilités d’élévation de privilège (CVE-2020-0238 et CVE-2020-0257), trois failles de divulgation d’informations (CVE-2020-0239, CVE-2020-0249 et CVE-2020-0258) et une faille de déni de service (CVE-2020-0247).

Google a également distribué des correctifs pour trois failles de haute gravité dans la structure multimédia d’Android, qui inclut la prise en charge de la lecture de divers types de médias courants, afin que les utilisateurs puissent facilement utiliser l’audio, la vidéo et les images. Ces vulnérabilités en question (CVE-2020-0241, CVE-2020-0242, CVE-2020-0243) sont des failles d’élévation de privilèges.

Quatre autres failles de haute gravité dans le système Android ont également été corrigées, dont deux élévations de privilège (CVE-2020-0108 et CVE-2020-0256) et deux vulnérabilités de divulgation d’informations (CVE-2020-0248 et CVE-2020-0250). Celles-ci «pourraient permettre à une application malveillante locale de contourner les exigences d’interaction des utilisateurs afin d’accéder à des autorisations supplémentaires», selon Google.

Les composants d’Android

Google a également déployé des correctifs pour les failles de divers composants tiers de son écosystème Android. L’une des failles (CVE-2020-0259) se trouve dans un composant d’AMLogic, qui est une société qui conçoit et vend des circuits intégrés SoC (System on Chip). Le composant spécifique est dm-verity, qui aide à empêcher les rootkits persistants qui peuvent conserver les privilèges root et compromettre les périphériques. Cette faille d’élévation de privilège pourrait permettre à un «attaquant local utilisant un fichier spécialement conçu d’exécuter du code arbitraire dans le contexte d’un processus privilégié», selon Google.

Plusieurs failles ont également été corrigées dans les composants du noyau utilisés dans Android, dont une faille d’élévation de privilège (CVE-2020-0255) dans le composant SELinux et une autre(CVE-2020-12464) dans le sous-système USB de Linux, ainsi qu’une faille de divulgation d’informations (CVE-2019-16746) dans le sous-système sans fil de Linux.

android sdk

Plusieurs composants MediaTek affectant le pilote de traitement multimédia qui aide au traitement des médias comme la vidéo ont également été corrigés. Il s’agit notamment de trois failles d’élévation de haute gravité (CVE-2020-0252, CVE-2020-0253, CVE-2020-0260) et de deux vulnérabilités de divulgation d’informations (CVE-2020-0251 et CVE-2020-0254).

Enfin, 31 failles critiques et de haute gravité ont été corrigées dans les composants Qualcomm, dont une faille critique dans le composant WLAN (CVE-2020-11116) et cinq failles critiques (CVE-2019-10562, CVE-2019-10615, CVE- 2019-13998, CVE-2020-3619 et CVE-2020-3667) dans les «composants à source fermée».

Mises à jour de fabricants

Les fabricants d’appareils Android proposent généralement leurs propres correctifs pour traiter les mises à jour en parallèle ou après le bulletin de sécurité Google. Samsung a déclaré dans une version de maintenance de sécurité d’août qu’ils publieraient plusieurs correctifs du bulletin de sécurité Android, y compris ceux traitant des failles critiques, CVE-2020-3699 et CVE-2020-3698, sur les principaux modèles Samsung. Et, selon un bulletin, une mise à jour de sécurité pour les appareils Pixel, qui utilisent le système d’exploitation Android de Google, «arrive bientôt».

Android a été confronté à divers problèmes de sécurité dans le passé. En Juillet, les chercheurs ont découvert que les utilisateurs d’Android étaient ciblés par des logiciels malveillants ou des logiciels publicitaires et souffraient d’une infection de la partition système, rendant les fichiers malveillants pratiquement indélébiles. Et en Juin, Google a corrigé deux failles critiques dans sa dernière mise à jour mensuelle Android qui permet l’exécution de code à distance sur les appareils mobiles Android.

S’abonner
Notifier de
guest
0 Commentaires
Inline Feedbacks
View all comments
0
Would love your thoughts, please comment.x
()
x