Dans le processeur d'image Qmage fourni dans le firmware Samsung Android, intégré au système de rendu graphique Skia, (CVE-2020-8899), qui permet d'organiser l'exécution du code lors du traitement d'images aux formats QM et QG (« .qmg ») dans n'importe quelle application. Pour mener une attaque, l'utilisateur n'a besoin d'effectuer aucune action ; dans le cas le plus simple, il suffit d'envoyer à la victime un MMS, un e-mail ou un chat contenant une image spécialement conçue.
On pense que le problème est présent depuis 2014, à commencer par le micrologiciel basé sur Android 4.4.4, qui a ajouté des modifications pour gérer des formats d'image supplémentaires QM, QG, ASTC et PIO (variante PNG). Vulnérabilité в Le firmware Samsung est sorti le 6 mai. La plate-forme Android principale et les micrologiciels d'autres fabricants ne sont pas concernés par le problème.
Le problème a été identifié lors de tests fuzz par un ingénieur de Google, qui a également prouvé que la vulnérabilité ne se limite pas aux plantages et a préparé un prototype fonctionnel d'un exploit qui contourne la protection ASLR et lance la calculatrice en envoyant une série de messages MMS à un Samsung. Smartphone Galaxy Note 10+ fonctionnant sous la plateforme Android 10.
Dans l’exemple présenté, une exploitation réussie a nécessité environ 100 minutes pour attaquer et envoyer plus de 120 messages. L'exploit se compose de deux parties - dans un premier temps, pour contourner ASLR, l'adresse de base est déterminée dans les bibliothèques libskia.so et libhwui.so, et dans un deuxième temps, l'accès à distance à l'appareil est fourni en lançant la fonction « inverse coquille". Selon la configuration de la mémoire, la détermination de l'adresse de base nécessite l'envoi de 75 à 450 messages.
De plus, on peut noter Mai ensemble de correctifs de sécurité pour Android, qui ont corrigé 39 vulnérabilités. Trois problèmes se sont vu attribuer un niveau de danger critique (les détails n'ont pas encore été divulgués) :
- CVE-2020-0096 est une vulnérabilité locale qui permet l'exécution de code lors du traitement d'un fichier spécialement conçu) ;
- CVE-2020-0103 est une vulnérabilité à distance dans le système qui permet l'exécution de code lors du traitement de données externes spécialement conçues) ;
- CVE-2020-3641 est une vulnérabilité dans les composants propriétaires Qualcomm).
Source: opennet.ru