Des pirates exploitent 3 failles de sécurité au sein des puces Qualcomm

Qualcomm vient de mettre en ligne son bulletin de sécurité mensuel. Dans le rapport d’octobre, le géant de l’électronique affirme avoir identifié trois failles de sécurité dans les drivers de plusieurs puces. Parmi les composants affectés, on trouve les cartes graphiques Adreno et les Compute DSP, les unités de traitement numérique du signal.

À lire aussi : la faille de sécurité GPU.zip touche sans doute votre carte graphique

Trois failles zéro day chez Qualcomm

Le fabricant précise avoir été alerté par les chercheurs du Threat Analysis Group (TAG) et de Project Zero, deux équipes de la division cybersécurité de Google. Selon les enquêteurs, les vulnérabilités sont activement exploitées de manière « limitée et ciblée » par des hackers.

Il s’agit de trois failles dites « zéro day ». En effet, les brèches ont été exploitées par des attaquants avant que Qualcomm ne découvre leur existence ou ne puisse déployer un correctif pour bloquer les offensives. Par sécurité, la société n’a pas communiqué davantage d’informations sur les vulnérabilités. Les chercheurs de Google précisent qu’une quatrième faille, divulguée en mai 2022, est également exploitée par des pirates pour le moment.

Notez qu’ARM vient aussi d’identifier une faille dans certaines puces à l’aide des experts du Threat Analysis Group (TAG) et de Project Zero. La brèche se situe dans les drivers de certaines cartes graphiques Mali. Activement exploitée des cybercriminels, elle permet de compromettre ou de dérober des données sensibles grâce un accès imprévu à la mémoire. Comme l’explique ARM dans son rapport officiel, « un utilisateur local non privilégié peut effectuer des opérations de traitement de la mémoire du GPU incorrectes ».

Qualcomm déploie des mises à jour de sécurité

Sans surprise, Qualcomm a promptement pris des mesures pour protéger ses utilisateurs. L’entreprise américaine a en effet déployé des mises à jour de sécurité contenant un correctif. Les constructeurs ayant inclus une puce Qualcomm affectée dans leurs produits n’ont plus qu’à intégrer le patch dans une mise à jour.

Malheureusement, il peut parfois se passer du temps avant que les marques ne prennent le temps d’ajouter le correctif, bien que Qualcomm encourage les constructeurs à proposer la mise à jour « dès que possible ». Ensuite, il faut encore que tous les utilisateurs de produits concernés prennent la peine de garder leur appareil à jour. En clair, les vulnérabilités risquent malheureusement de rester béantes et exploitables pendant une longue période.

Le bulletin d’octobre 2023 mentionne par ailleurs trois autres failles jugées critiques. Ce type de brèches peut permettre à un attaquant de causer des dégâts importants, en volant des données dans le système par exemple. D’après Qualcomm, un attaquant exploitant ces failles à distance peut surtout corrompre la mémoire de certaines parties des composants.

Qualcomm dénombre aussi 13 failles jugées graves et une brèche modérée. Toutes les vulnérabilités ont été corrigées par le biais d’une mise à jour transmise aux constructeurs. Là encore, Qualcomm encourage ses partenaires à pousser le correctif dans les plus brefs délais.