Google Project Zero se dirige vers une mesure qui implique le fait de désactiver des appels Wi-Fi et 4G pour les appareils mobiles avec des puces Samsung Exynos.
Google recommande de désactiver les appels Wi-Fi et 4G
Dans le cas de certains appareils Android, Google Project Zero recommande aux utilisateurs de désactiver temporairement les appels Wi-Fi et 4G. Ils font écho aux technologies VoWiFi et VoLTE. Cette recommandation incroyable est en rapport avec les failles de sécurité qui affectent les modems Samsung Exynos. Entre fin 2022 et début 2023, les pirates informatiques d’élite ont découvert et rapporté 18 vulnérabilités de 0-day liées à ces puces. En fait, l’alerte vaut essentiellement pour quatre vulnérabilités critiques plus facilement exploitables. L’une d’elles est référencée CVE-2023-24033, tandis que les trois autres n’ont pas encore d’identifiant CVE attribué.
» Les tests effectués par Project Zero confirment que les quatre vulnérabilités permettent à un attaquant de compromettre. À distance un smartphone au niveau du baseband sans aucune interaction de l’utilisateur. Et qu’il suffit que l’attaquant connaisse le numéro de téléphone de la victime. » Selon le Projet Zero, les attaquants chevronnés peuvent rapidement créer un exploit opérationnel pour un compromis sans que les utilisateurs le sachent.
Une idée des terminaux mobiles vulnérables
Bonne nouvelle, une liste de chipsets Exynos vulnérables a été publiée par Samsung. Project Zero de Google propose également une liste non exhaustive d’appareils mobiles vulnérables qui doivent absolument désactiver les appels Wi-Fi et 4G. Voici alors la liste : Smartphones Samsung Galaxy S22, A71, A53, A33, A21s. Ou encore : A13, A12, A04, M33, M13 et M12. Ensuite, Smartphones Vivo S16, S15, S6, X70, X60 et X30. Puis, Smartphones Google Pixel 6 et Pixel 7. Puis, Véhicules avec chipset Exynos Auto T5123.
D’autre part, pour les smartphones Pixel, la faiblesse CVE-2023-24033 fait partie des corrections dans le cadre de la toute récente mise à jour de sécurité de mars. Pour rappel Samsung a déjà fourni des mises à jour de sécurité à d’autres fabricants. Toutefois, les correctifs ne sont pas encore publics. D’où la désactivation des appels Wi-Fi et 4G en attendant. Sur Twitter, la chercheuse en sécurité Maddie Stone de Project Zero souligne que 90 jours après le rapport, les utilisateurs finaux ne disposent pas de correctifs.