Oversecured a découvert 176 vulnérabilités dans les applications mobiles préinstallées de SamsungCes failles permettaient notamment la prise de contrôle de comptes, l’exécution de code et le détournement du trafic réseauSamsung a corrigé toutes les vulnérabilités signalées, qui concernaient potentiellement des centaines de millions d’appareilsLes chercheurs en sécurité d’Oversecured viennent de donner un tout nouveau sens au terme « bloatware ». Ils ont découvert 176 vulnérabilités, dont certaines particulièrement inquiétantes, dans les applications mobiles de Samsung.Pendant trois ans, l’équipe a analysé les applications système préinstallées par Samsung et découvert des failles capables de provoquer de sérieux dégâts. Certaines permettaient d’accéder à la caméra et au microphone, tandis que d’autres autorisaient la prise de contrôle à distance d’un compte Samsung d’un simple clic.D’autres vulnérabilités permettaient de détourner le trafic réseau en manipulant le DNS ou d’exécuter du code arbitraire par l’intermédiaire d’une image. En théorie, un attaquant pouvait créer puis envoyer une image JPEG qui, une fois ouverte par la victime, copiait et chargeait depuis la carte SD des bibliothèques natives contrôlées par l’attaquant. Oversecured a enfin découvert des failles de traversée de répertoires permettant d’écrire des fichiers arbitraires dans le système de fichiers sans validation correcte du chemin.Exécution de code arbitraireLes chercheurs ont communiqué leurs découvertes à Samsung qui, selon leur rapport, a corrigé toutes les vulnérabilités signalées. La liste complète est disponible sur GitHub.La plupart des fabricants de smartphones Android préinstallent leurs propres applications sur leurs appareils. Chez Samsung, il peut par exemple s’agir de Bixby, Samsung Free ou AR Zone. Ces applications, qui ne peuvent pas être désinstallées ou supprimées des appareils, ne sont pas indispensables à leur fonctionnement et les utilisateurs n’en veulent souvent pas.Ce « bloatware » constitue également l’un des arguments en faveur des Google Pixel, souvent considérés comme proposant une version « stock » d’Android, sans applications superflues.Prises séparément, ces vulnérabilités n’ont rien d’extraordinaire. Des failles permettant de prendre le contrôle d’un compte en un clic ou de détourner le trafic réseau apparaissent régulièrement et sont généralement corrigées assez rapidement.Le problème tient ici au fait qu’il s’agit d’applications propriétaires de Samsung qui échappent à la protection de Google Play Protect. Les utilisateurs peuvent donc penser être protégés parce qu’ils n’ont installé aucune application provenant d’une source risquée ni accordé d’autorisation dangereuse, alors que ce n’est pas forcément le cas.« Les applications système préinstallées disposent de privilèges supérieurs à ceux des applications normales, ne peuvent pas être supprimées par les utilisateurs et fonctionnent en dehors de Google Play Protect », avertissent les chercheurs.« Une seule vulnérabilité affecte des centaines de millions d’appareils dans le monde par l’intermédiaire du canal de distribution d’un seul fabricant. »Les Galaxy S21 sont officiellement abandonnés par Samsung (sauf un rescapé)Samsung Galaxy S23 : une quarantaine virtuelle pour se protéger des attaques "zéro clic"Samsung Galaxy : cette mise à jour corrige un certain nombre de problèmes de sécurité majeurs