Android : Google corrige 44 vulnérabilités avec le patch de mars 2025
Google vient de publier son bulletin de sécurité de mars 2025 pour Android ! Au programme, un total de 44 vulnérabilités corrigées, dont deux sont activement exploitées. Faisons le point
Android : deux vulnérabilités exploitées par les pirates
Parmi les failles corrigées par cette mise à jour mensuelle proposée par Google, deux sont particulièrement préoccupantes en raison de leur exploitation active.
La première, associée à la référence CVE-2024-43093, est une faille d'élévation de privilèges dans le composant Framework d'Android. Elle permet à un attaquant de bénéficier d'un accès non autorisé aux répertoires "Android/data," "Android/obb," et "Android/sandbox," ainsi qu'à leurs sous-répertoires. Ce qui est étonnant, et Google n'apporte pas la réponse à cette interrogation, c'est que cette faille de sécurité a déjà été mentionnée dans le patch mensuel de novembre 2024.
La seconde vulnérabilité, associée quant à elle à la référence CVE-2024-50302, affecte le composant HID USB du noyau Linux. Son exploitation pourrait entraîner une fuite de mémoire du noyau vers un attaquant local via des rapports HID spécialement conçus. Cette vulnérabilité quant à elle est liée à un autre sujet d'actualité : la chaîne d'exploitation de type zero-day utilisée par la police serbe pour déverrouiller le smartphone d'un militant, en s'appuyant sur les travaux de Cellebrite.
Android : le patch de mars 2025 est entre les mains des fabricants
Comme à chaque fois, Google va publier deux niveaux de correctifs de sécurité (2025-03-01 et 2025-03-05), afin de permettre à ses partenaires Android de traiter rapidement les vulnérabilités communes à tous les appareils. Autrement dit, Google met à disposition des fabricants les correctifs à intégrer à leur patch et à déployer auprès des utilisateurs.
Dans le cas présent, Google a corrigé les deux failles de sécurité exploitées, ainsi qu'une quarantaine d'autres vulnérabilités. Il y a notamment 10 failles critiques, dont la majorité permet une exécution de code à distance. Vous pouvez obtenir tous les détails sur le site de Google.
