Un chercheur en sécurité découvre 40 failles de type zero day dans Tizen, le système d’exploitation de Samsung
Un chercheur en sécurité découvre 40 failles de type zero day dans Tizen, le système d’exploitation de Samsung,
la firme doit-elle craindre une nouvelle débâcle ?
En épluchant la pile de documents publiés par Wikileaks au sujet des opérations d’espionnage des États-Unis, l’on a pu avoir plus de lumière sur les capacités et activités des agences américaines déployées à travers le monde pour espionner les utilisateurs. En parcourant ces dossiers, l’on a découvert que la CIA, l’agence américaine de renseignement, de concert avec le MI5, le service de renseignement du Royaume-Uni ont mis en œuvre depuis 2014 un malware baptisé « Weeping Angel » capable d’infecter à distance une TV Samsung et enregistrer furtivement les bruits émis à proximité de la télévision. Cela pose un véritable problème de sécurité du côté de Samsung et un niveau élevé d’intrusion dans la vie privée des utilisateurs.
Toutefois, si vous aviez été choqué par la sécurité des TV Samsung après la révélation de cette menace, l’on est encore loin du compte face aux nouvelles failles qui viennent d’être mises à nu par Amihai Neiderman, le chercheur en sécurité israélien connu déjà pour avoir découvert une faille dans le firmware du routeur utilisé par la municipalité de Tel-Aviv et qui aurait pu être utilisée pour pirater les données circulant via le Wifi de la ville.
Depuis lundi, Neiderman a encore fait parler de lui après avoir rapporté la découverte de 40 failles de type zero day dans le système d’exploitation Tizen développé par Samsung pour ses TV, ses montres connectées, ses smartphones, ses réfrigérateurs et bien d’autres équipements. L’entreprise se réclame de 30 millions de TV fonctionnant avec ce système, plusieurs modèles de smartwatches dont les montres Gear S2, Gear 2 Neo et Gear S3 tournant avec lui ainsi qu’un nombre limité de téléphones le supportant. La firme sud-coréenne envisage même d’accroître le nombre de téléphones tournant avec ce système pour passer à 10 millions cette année et prévoit également d’équiper sa nouvelle ligne de machines à laver et de réfrigérateurs avec ce système. C’est dire combien de fois ce système est présent dans l’environnement de Samsung.
Toutefois, si l’on s’en tient aux déclarations faites par Neiderman, tous ces équipements fonctionnant avec Tizen seraient donc à la merci de pirates s’ils parvenaient à exploiter les failles découvertes par ce dernier. Dans son rapport, Neiderman explique que son aventure a commencé il y a huit mois lorsqu’il a acquis un téléviseur Samsung fonctionnant avec Tizen. Constatant les bogues des applications sur son téléviseur intelligent, il a acheté des smartphones Tizen afin d’examiner de plus près le code sous-jacent.
Après avoir examiné le code du système de ces appareils, Neiderman note que lorsque Samsung a abandonné Bada, son ancien système d’exploitation, le code de ce système a été intégré à Tizen. En conséquence, plusieurs failles ont été délivrées avec ce nouveau système. Un des exemples décrits par Neiderman est que les développeurs de Tizen ont largement utilisé la fonction Strcpy() pour répliquer les données en mémoire. Toutefois, cette fonction est connue par les développeurs comme présentant des risques de débordement de mémoire. C’est pourquoi beaucoup préféreront utiliser d’autres fonctions pour éviter ce problème, mais ce ne fut pas le cas pour les développeurs de Tizen qui en ont largement fait usage.
Pour Neiderman, « c’est peut-être le pire code qu’il ait jamais vu ». Il ajoute que les développeurs ont fait tout ce qui n’est pas recommandé de faire. Pour lui, ce code aurait été écrit par des personnes qui n’ont aucune notion en sécurité. Il conclut en affirmant que ce qui a été fait avec Tizen est pareil que « prendre un étudiant de premier cycle et le laisser programmer votre logiciel ».
Dans la flopée de failles découvertes, Neiderman rapporte que toutes les vulnérabilités découvertes permettent de prendre le contrôle à distance des appareils fonctionnant avec Tizen. Une des vulnérabilités jugées préoccupantes par le chercheur en sécurité est la possibilité de délivrer du code malveillant à un appareil en utilisant le magasin d’applications de Tizen similaire à Google Play pour Android. Par ailleurs, il est possible de mettre à jour le système Tizen avec n’importe quel code malicieux, les logiciels Tizen s’exécutant avec des privilèges élevés. En outre, à l’heure où le chiffrement des données dans les applications et systèmes n’est plus à discuter, les développeurs de Samsung ont pris sur eux de mettre de côté le chiffrement des connexions dans certaines circonstances. Cela signifie qu’un pirate pourrait aisément accéder à ces données, les espionner ou même les modifier.
Après la découverte de ces failles, Neiderman a contacté Samsung qui n’aurait pas prêté une grande attention à ses découvertes. Cependant, après avoir rapporté la découverte de failles à Motherboard puis à la conférence sur la sécurité organisée par Kaspersky Lab depuis lundi dernier, Samsung aurait approché l’expert afin de travailler avec lui pour corriger toutes ces vulnérabilités.
Aussi, vu l’importance de failles recensées, il est clair que si Samsung avait l’intention de se défaire peu à peu d’Android au profit de son système d’exploitation maison, ce changement devrait encore prendre du temps au risque d’exposer les utilisateurs à des risques de sécurité et d’amener les pirates à se frotter les mains.
Mais au-delà des failles rapportées, l’entreprise doit-elle redouter un éloignement massif des utilisateurs vis-à-vis de ses produits ? L’an dernier, elle a essuyé un revers cinglant avec des problèmes matériels détectés dans les Galaxy Note 7. L’entreprise pourrait-elle connaître à nouveau une fuite des utilisateurs au profit des produits des autres entreprises ? Ou pensez-vous que la découverte de ces failles n’aura pas d’impact significatif sur les produits de la firme ?
Source : Motherboard, Fortune
Et vous ?
Que pensez-vous de ces failles découvertes ? Entraîneront-elles une fuite massive des utilisateurs chez Samsung ?
Voir aussi
Répondre avec citation
Envoyé par Patrick PETIT
Je ne savais pas que c'était open source. Du coup je comprends mieux 
Partager