La personnalisation d’Android par les constructeurs augmente les risques de sécurité dans les smartphones

L’équipe de chercheurs en sécurité de Google Project Zero n’est pas contente.

Dans un billet publié sur le blog officiel de Project Zero, Jann Horn, un chercheur en sécurité, explique que les modifications du noyau d’Android effectuées par Samsung pour tenter d’empêcher les attaques sur ses smartphones Galaxy, a en réalité l’effet inverse.

Tous les constructeurs qui personnalisent le noyau Android pour y ajouter des fonctionnalités d’ailleurs sont concernés.

Du code non vérifié par les développeurs du noyau

Samsung, mais aussi l’ensemble des constructeurs qui touchent au noyau d’Android pour y ajouter, par exemple, des pilotes ou des éléments destinés à renforcer la sécurité, introduisent en réalité de nouvelles failles de sécurité dans le système d’exploitation de leurs appareils.

Même si l’intention de départ est bonne, la pratique n’est pas sans danger pour les utilisateurs. Les chercheurs du Google Project Zero expliquent en effet que ce code ajouté dans le kernel Android par les constructeurs n’est pas vérifié en amont par les développeurs du noyau.

Pour étayer son propos, Jann Horn explique que le patch poussé récemment par Samsung sur ses Galaxy A50 a conduit à un problème de corruption de mémoire. Un problème qui affecte notamment le sous-système de sécurité supplémentaire de Samsung. Ce bogue, déniché dans le noyau du Galaxy A50 par Google, a été signalé au constructeur coréen en novembre dernier. Il vient tout juste d’être corrigé dans une mise à jour rendue disponible en février.

S’il n’avait pas été corrigé, il aurait permis à des personnes mal intentionnées d’exécuter du code arbitraire sur certains appareils Galaxy fonctionnant sous Android 9 et 10.

Des améliorations d’Android pour tenter de limiter les risques

Dans son billet de blog, Jann Horn explique que les développeurs d’Android ont multiplié les efforts pour tenter de réduire l’impact que peut avoir l’ajout de code dans le noyau sur la sécurité des appareils. Ils y sont notamment parvenus en bloquant les processus qui ont accès aux pilotes de l’appareil, généralement propres à chaque constructeur.

Malheureusement, les personnalisations effectuées par les constructeurs pour modifier le fonctionnement du noyau Linux utilisé par Android, sabotent les efforts mis en place par Google pour tenter de verrouiller la surface d’attaque.

Sources :

Zdnet, Project Zero Blog