Samsung est peut-être l’un des fabricants d’appareils Android les plus populaires, mais cela n’a pas empêché Google de lui reprocher de rendre Android plus vulnérable. Jann Horn, chercheur de Google Project Zero, a expliqué comment les efforts de Samsung pour personnaliser le noyau Android pour des appareils spécifiques étaient non seulement inutiles, mais introduisaient des vulnérabilités de sécurité.
Horn effectuait des recherches en particulier sur le noyau du Galaxy A50, et n’a pas encore testé ses conclusions sur d’autres noyaux d’appareils Samsung. « Sur Android, il est normal que les vendeurs ajoutent du code spécifique à l’appareil dans le noyau », écrit Horn en avant-première.
« Ce code est une source fréquente de vulnérabilités de sécurité. Android a réduit l’impact de ce code sur la sécurité en verrouillant les processus qui ont accès aux pilotes des appareils, qui sont souvent spécifiques aux fournisseurs. Les smartphones Android modernes accèdent aux périphériques matériels par le biais de processus d’aide dédiés, qui forment la couche d’abstraction matérielle (HAL) ».
Dans le cas du Galaxy A50, Horn a décrit un exploit pour un problème de corruption de mémoire dans le noyau de Samsung qui a été aidé par une autre vulnérabilité du noyau Android lui-même. Ce deuxième problème avait été corrigé depuis longtemps dans le coeur d’Android, mais Samsung n’avait pas encore réglé le problème dans sa surcouche.
L’intégralité de cet article est une analyse longue et extrêmement détaillée des problèmes techniques en jeu.
Un manque de rigueur chez les constructeurs ?
Google a travaillé dur pour résoudre les problèmes de sécurité d’Android, mais ces améliorations ne sont pas aussi bonnes que les fournisseurs qui les mettent en œuvre. Horn démontre de façon convaincante que les fournisseurs qui personnalisent le noyau Android font courir à leurs utilisateurs un risque sérieux pour des avantages douteux.
« À mon avis, certaines des fonctionnalités personnalisées ajoutées par Samsung sont inutiles et peuvent être supprimées sans perte de valeur », ajoute Horn. Il a conclu par un appel selon lequel « idéalement, tous les constructeurs devraient utiliser et appliquer fréquemment les mises à jour des noyaux supportés en amont ».
Une chose est claire : les revendeurs de smartphones Android doivent prendre la sécurité au sérieux autant que Google.
