Loi des séries quand tu nous tiens... En ce moment c'est Android qui la subit. Après le retour de la dramatique faille  Stagefroght sous la forme Metaphor, il apparaît que deux graves vulnérabilités, découvertes par l'éditeur de solutions de sécurité Trend Micro se nichent dans les Soc (System on a Chip) Snapdragon.

Tous les terminaux construits autour de la version 800 des SoC Snapdragon, utilisés conjointement avec la version 3.10 du code noyau fourni par Samsung, sont vulnérables.

Il existe deux failles: CVE-2016-0819 et CVE-2016-0805.

La première consiste en un bug de logique qui effectue une double libération d'un objet noyau. Ce qui entraîne une fuite de données ainsi que la possible d'utilisation après libération.

La seconde se trouve dans une fonction du firmware, get_krait_evtinfo qui ne vérifie pas suffisamment les arguments qu'elle reçoit, ce qui permet des attaques par des accès au-delà des zones mémoires normales.

L'exploitation conjointe de ces deux failles permet d'aboutir à l'exécution d'un code arbitraire à distance sur l'appareil attaqué, avec obtention d'un accès root.

Par sécurité, Trend Micro ne détaille pas les exploits de cette faille, mais assure que ceux-ci sont opérants sur des smartphones Nexus 5, Nexus 6, Nexus 6P et Samsung Galaxy Note Edge.

Ces vulnérabilités ont déjà été corrigées par Google. Encore faut-il que les correctifs arrivent sur les smartphones Android de monsieur tout-le-monde.

Selon Google, il n'existe pas d'exploits malveillants de ces vulnérabilités.