Faille 0day dans le Galaxy S3
Lors du concours annuel Pwn2Own, qui s’est déroulé à Amsterdam cette année, les chercheurs de MWR Labs ont réussi à trouver une faille 0day dans le Samsung Galaxy S3 (un 0day est une faille qui n’a pas encore été dévoilée au grand public et pour laquelle il n’y a pas encore de correctif)
Ces chercheurs ont donc trouvé une faille utilisant le module NFC (qui est une technologie sans fil permettant d’échanger des données en rapprochant 2 terminaux qui en sont équipés) du Galaxy S3 et, accessoirement, ont remporté le pactole de 30 000$ en trouvant cette faille.
Ce 0day utilise 2 failles : une première concernant la mémoire et qui permet d’exécuter du code de manière non-protégée, permettant d’installer un malware qui à son tour en exploite une seconde et permet d’obtenir tous les privilèges sur le terminal, et donc d’en faire ce qu’on veut. Comme par exemple installer le framework Mercury, spécialisé dans la recherche de failles et de vulnérabilités dans le système d’exploitation de Google. Par exemple.
Le côté positif, c’est que les chercheurs qui ont trouvé cette faille sont des Grey Hat et qu’ils ont promis de ne pas divulguer les failles tant qu’elles ne seront pas patchées. Ça, c’est cool de leur part. Ce qui est moins cool, c’est que si eux l’ont trouvé, d’autre le feront probablement.
Cette faille ré ouvre la question de la fiabilité du NFC en tant que technologie sans fil … sans réel protocole de sécurité. La cerise sur le gâteau ? Cette technologie risque d’être implantée dans nos cartes bancaires. Enjoy !
Source : Presence-PC, Image 1, Image 2
