© quietbits / Shutterstock
© quietbits / Shutterstock

Une vulnérabilité activement exploitée a pu être corrigée grâce à une récente mise à jour d'Android. Elle relève du kernel de Linux.

Google vient de publier un correctif pour combler une faille de sécurité sévère dans Android.

Une vulnérabilité dans le noyau Linux

La vulnérabilité est connue sous l'appellation CVE-2021-22600. Selon Google, elle a déjà pu être exploitée, de manière « limitée et ciblée ». La CISA (Cybersecurity and Infrastructure Security Agency) se montre plus anxieuse et évoque une faille de sécurité activement exploitée dans le cadre d'attaques. Elle l'a d'ailleurs ajoutée à son catalogue des vulnérabilités exploitées connues.

La faille de sécurité est relative au kernel Linux, qui sert de noyau à Android. Elle a été identifiée il y a plusieurs mois, et un patch a été développé dès janvier par les équipes de Google et intégré par différentes distributions (Debian, Red Hat, SUSE et Ubuntu). Mais celui-ci n'était pas applicable à son propre système d'exploitation mobile, qui a recours à un kernel Linux custom. C'est pourquoi le correctif n'arrive que maintenant.

Cette vulnérabilité permet à des pirates avec un accès local de débloquer une élévation de privilèges et d'exécuter des commandes qui ne doivent pas être rendues possibles.

Des failles Mediatech et Qualcomm aussi corrigées

Le patch correctif est disponible individuellement depuis le 5 mai 2022, mais il ne fait pas partie de la grande mise à jour de sécurité Android de ce mois. Donc, si vous avez déjà téléchargé le patch du 1er mai, vous devez allez chercher le nouveau pour être protégé. Sinon, il sera inclus dans le patch de sécurité majeur de juin.

Vérifiez régulièrement vos mises à jour disponibles, les délais varient sensiblement selon les constructeurs et le modèle du smartphone pour la mise à disposition des patchs de sécurité. Si votre mobile est ancien, sachez que le patch ne devrait pas être déployé sur les versions antérieures à Android 10.

De nombreuses autres vulnérabilités critiques ont été corrigées, dont 3 concernant des composants MediaTek, et 15, des composants Qualcomm. De plus, une faille de sécurité jugée critique relative à du matériel Qualcomm a également été corrigée.