Android : Google corrige 44 vulnérabilités avec le patch de mars 2025
Google vient de publier son bulletin de sécurité de mars 2025 pour Android ! Au programme, un total de 44 vulnérabilités corrigées, dont deux sont activement exploitées. Faisons le point
Android : deux vulnérabilités exploitées par les pirates
Parmi les failles corrigées par cette mise à jour mensuelle proposée par Google, deux sont particulièrement préoccupantes en raison de leur exploitation active.
La première, associée à la référence CVE-2024-43093, est une faille d’élévation de privilèges dans le composant Framework d’Android. Elle permet à un attaquant de bénéficier d’un accès non autorisé aux répertoires « Android/data, » « Android/obb, » et « Android/sandbox, » ainsi qu’à leurs sous-répertoires. Ce qui est étonnant, et Google n’apporte pas la réponse à cette interrogation, c’est que cette faille de sécurité a déjà été mentionnée dans le patch mensuel de novembre 2024.
La seconde vulnérabilité, associée quant à elle à la référence CVE-2024-50302, affecte le composant HID USB du noyau Linux. Son exploitation pourrait entraîner une fuite de mémoire du noyau vers un attaquant local via des rapports HID spécialement conçus. Cette vulnérabilité quant à elle est liée à un autre sujet d’actualité : la chaîne d’exploitation de type zero-day utilisée par la police serbe pour déverrouiller le smartphone d’un militant, en s’appuyant sur les travaux de Cellebrite.