Checkpoint vise le talon d’Achille des smartphones Android
Les puces DSP (Digital Signal Processing) sont des dispositifs présents dans de nombreux appareils informatiques et utilisés pour traiter un signal complexe de façon optimisée. Ces puces sont notamment utilisées dans des modems, récepteurs GPS mais aussi dans les téléphones. Les chercheurs de Checkpoint ont choisi de s’intéresser en particulier à l’une de ces puces commercialisée par Qualcomm et intégrée au sein des SoC (System on a Chip) Snapdragon.
Dans une présentation faite à l’occasion de la Defcon et suivie d’un post de blog, les chercheurs de CheckPoint expliquent avoir découvert un grand nombre de vulnérabilités affectant ce composant, qu’ils décrivent comme « un ordinateur complet sur une puce », disposant de fonctionnalités logicielles et matérielles. La puce étudiée par les chercheurs de CheckPoint équipe selon eux 40 % des terminaux mobiles fonctionnant sous Android, ce qui comprend des téléphones commercialisés par les principaux acteurs du marché.
L’équipe de chercheur de Checkpoint explique avoir identifié « plus de 400 morceaux de codes vulnérables », qui ont donné lieu à l’attribution de 9 CVE (CVE-2020-11201, CVE-2020-11202, CVE-2020-11206, CVE-2020-11207, CVE-2020-11208 et CVE-2020-11209). Les CVE (Common Vulnerability Exposure) sont un outil utilisé par le secteur de la sécurité pour identifier les failles de sécurité grâce à un identifiant unique. Cet ensemble de failles, baptisées « Achilles » par les chercheurs de Checkpoint en référence au talon d’Achille, pourrait être utilisé pour différents effets : dissimuler la présence de code malveillant, rendre l’appareil visé inopérant ou encore espionner les communications sur l’appareil de la cible.
En attendant les patchs
Dans une présentation donnée à l’occasion de la conférence, DefCon, le chercheur Slava Makkaveev de Checkpoint, a présenté une démonstration du fonctionnement de ces vulnérabilités, qui lui permet de prendre le contrôle d’un téléphone à partir d’une simple application exécutée par l’utilisateur. La présentation donne un peu plus de détails techniques sur les failles, notamment les vulnérabilités découvertes dans le SDK Hexagon proposé par Qualcomm aux constructeurs pour faire exploiter les fonctionnalités de la puce DSP.
Qualcomm a été mis au courant des failles en question et a communiqué sur le sujet via l’un de ses porte-parole, cité par CNET.com : « Nous avons travaillé avec les chercheurs pour valider le problème et rendre disponibles les protections appropriées. Nous encourageons les utilisateurs finaux à mettre à jour leurs appareils au fur et à mesure que des correctifs sont disponibles et à n’installer les applications qu’à partir d’emplacements de confiance tels que le Google Play Store. » Checkpoint explique dans son blog que les détails des vulnérabilités en questions ne sont pour l’instant pas publiés, afin de laisser le temps à l’écosystème Android de diffuser les correctifs nécessaires.
