Une faille 0day exploitable sur plusieurs smartphones Android

Publié le 18 octobre 2019

Une faille 0day découverte par un chercheur en sécurité avait été partagée sur GitHub il y a plusieurs semaines. Un code vient d’être rajouté afin d’exploiter la faille et permettre aux développeurs de se renseigner sur cette dernière.

Découverte par Google il y a quelques jours (et intitulée CVE-2019-2215), la faille était apparemment activement exploitée par plusieurs groupes de pirates malveillants. Afin d’étayer leurs propos, les chercheurs de chez Google avait publié du code d’exploitation. Ce dernier ne permettait en revanche que de lire les données d’un smartphone Android, pas de le modifier. Il n’expliquait donc pas comment certaines personnes arrivaient à profiter de la faille.

Il y a deux jours, un internaute du nom de “Grant-h” a publié un exploit de la faille. Intitulé “qu1ckr00t”, ce bout de code permet aux utilisateurs un peu curieux de rooter un smartphone Android très rapidement. Un exemple est disponible en vidéo : 

Rooting a Pixel 2 with Magisk from an untrusted app using CVE-2019-2215, no OEM unlock needed pic.twitter.com/yGovBluQj5

— Grant Hernandez (@Digital_Cold) October 9, 2019

Un code entre de mauvaises mains 

Si la publication du code permet de mieux comprendre son fonctionnement afin d’étudier d’éventuels correctifs, il est aussi accessible à des personnes malveillantes. Il est donc très probable que des hackers soient déjà sur l’étude de “qu1ckr00t” afin de l’exploiter et infiltrer des smartphones vulnérables.

Les appareils concernés par la faille 0day sont :

• Pixel 2 sous Android 9 et 10 preview
• Huawei P20
• Xiaomi Redmi 5A
• Xiaomi Redmi Note 5
• Xiaomi A1
• Oppo A3
• Motorola Moto Z3
• Téléphones LG sous Oreo
• Samsung S7, S8 et S9

 Un patch pour la faille a déjà été distribué par Google le 7 octobre dernier. Ce dernier est accessible à cette adresse.

Source