Les puces Qualcomm exposées à des failles de sécurité : 900 millions d'appareils Android touchés (MAJ)

MAJ : Qualcomm s'est fendu d'une réponse officielle sur sa position vis à vis des failles, et voilà ce qu'il en est en ce jour :

C’est une priorité pour Qualcomm Technologies, Inc. (QTI) de fournir des technologies hautement sécurisées et respectant la vie privée de ses utilisateurs. Nous avons été informés par le chercheur au sujet de ces vulnérabilités entre Février et Avril de cette année, et avons partagé les correctifs nécessaires aux quatre vulnérabilités à nos clients, partenaires et à la communauté open source entre Avril et Juillet. Les correctifs ont également été affichés sur CodeAurora. QTI continue de travailler de manière proactive à la fois en interne ainsi qu'avec des chercheurs en sécurité pour identifier et traiter les potentielles failles de sécurité.

Qualcomm fait régulièrement parler de lui ces dernières années : abus de position dominante en Europe, pareil en Chine avec condamnation, surchauffe du Snapdragon 810, etc. Aujourd'hui c'est un autre fait que nous amène à parler de la firme de SoC et qui n'est guère reluisant : l'annonce de quatre vulnérabilités très importantes dans les pilotes de ses puces Snapdragon.

C'est la firme de sécurité Check Point qui a profité de la Def Con 24 à Las Vegas pour dévoiler ses recherches, Qualcomm ayant été prévenu lui il y a plusieurs mois. Le set de vulnérabilités baptisé Quadrooter est relativement facile à utiliser pour un attaquant, il suffit de les glisser dans une application que vous installez (d'une source peu sûre par exemple) et le tour est joué, votre appareil Android est complètement à sa merci. 

Tous les appareils Android ne sont pas touchés, seuls ceux qui ont des puces Qualcomm et les chiffres présentent près de 900 millions d'appareils tout de même. Qualcomm annonce qu'il a déjà proposé des corrections et qu'elles ont été diffusées aux différents constructeurs, le problème c'est qu'il faut que ces derniers les diffusent à leur tour. Google qui est un bon élève n'a corrigé que 3 des 4 vulnérabilités par exemple, et tous les autres fabricants sont à la ramasse. Tous les derniers smartphones Android haut de gamme sont troués... et même ceux censés être sécurisés comme les Blackberry. 

Pour savoir si vous êtes touchés par le problème vous pouvez télécharger l'application QuadRooter Scanner de Check Point qui confirmera très certainement vos craintes. La diffusion des patchs de sécurité et des mises à jour en général chez les constructeurs Android a toujours été un problème, et ici cela compromet clairement la sécurité d'Android. En attendant, évitez d'installer des applis de sources qui ne sont pas de confiance !