Google a fourni des correctifs pour corriger 47 failles de sécurité dans son système d’exploitation Android, dont une qui, selon lui, est activement exploitée dans la nature.

La vulnérabilité en question est CVE-2024-53104 (score CVSS : 7,8), qui a été décrite comme un cas d’escalade de privilèges dans un composant du noyau connu sous le nom de pilote USB Video Class ( UVC ).

L’exploitation réussie de la faille pourrait conduire à une escalade physique des privilèges, a déclaré Google, notant qu’il était conscient qu’il pourrait s’agir d’une « exploitation limitée et ciblée ».

Bien qu’aucun autre détail technique n’ait été fourni, le développeur du noyau Linux Greg Kroah-Hartman a révélé début décembre 2024 que la vulnérabilité est enracinée dans le noyau Linux et qu’elle a été introduite dans la version 2.6.26 , sortie à la mi-2008.

Plus précisément, il s’agit d’une condition d’écriture hors limites qui pourrait survenir à la suite de l’analyse de trames de type UVC_VS_UNDEFINED dans une fonction nommée « uvc_parse_format() » dans le programme « uvc_driver.c ».

Cela signifie également que la faille pourrait être exploitée pour provoquer une corruption de la mémoire, un plantage du programme ou l’exécution de code arbitraire.

Dans le cadre des mises à jour de sécurité mensuelles de Google, Google a également corrigé une faille critique dans le composant WLAN de Qualcomm ( CVE-2024-45569 , score CVSS : 9,8) qui pourrait également entraîner une corruption de la mémoire.

Il convient de noter que Google a publié deux niveaux de correctifs de sécurité, 2025-02-01 et 2025-02-05, afin de donner aux partenaires Android la flexibilité nécessaire pour traiter plus rapidement une partie des vulnérabilités similaires sur tous les appareils Android.

« Les partenaires Android sont encouragés à corriger tous les problèmes mentionnés dans ce bulletin et à utiliser le dernier niveau de correctif de sécurité », a déclaré Google.