Les chercheurs de la société de cybersécurité mobile Kryptowire ont découvert une vulnérabilité haute gravité, suivie sous le nom de CVE-2022-22292, dans les appareils Android 9, 10, 11 et 12.

La vulnérabilité réside dans l'app Phone préinstallée qui s'exécute avec des privilèges système sur les appareils Samsung. Les experts ont souligné que l'app Phone possède un composant non sécurisé qui permet aux apps locales d'effectuer des opérations privilégiées sans aucune interaction de l'utilisateur.

"La vulnérabilité pourrait donner aux attaquants la possibilité de lancer une réinitialisation d'usine (c'est-à-dire de supprimer toutes les données de l'utilisateur), de passer des appels téléphoniques (y compris vers des numéros d'urgence comme le 911), d'installer/désinstaller des apps, d'affaiblir la sécurité HTTPS en installant des certificats racine arbitraires, le tout à partir d'apps non fiables exécutées en arrière-plan et sans l'approbation de l'utilisateur final", peut-on lire dans l'avis publié par Kryptowire.

"Vous avez déjà pensé que quelqu'un d'autre avait accès à votre téléphone ? Malheureusement, vous avez peut-être raison", a déclaré Alex Lisle, directeur technique de Kryptowire. "Les applications mobiles deviennent le point principal de l'activité personnelle et professionnelle, représentant une cible de plus en plus attrayante pour les mauvais acteurs.".