Maintenir un smartphone à jour n'a pas suffi à empêcher des chercheurs de pirater le Pixel 10 de Google lors de Pwn2Own Ireland. Trois équipes distinctes ont réussi à exploiter l'appareil entièrement mis à jour à distance, le 8 octobre.
Les démonstrations reposaient sur différentes vulnérabilités, dont une faille zero-day et des failles déjà connues des organisateurs de la compétition ou des éditeurs. Bien que les attaques aient été menées dans des conditions contrôlées, elles ont exposé des faiblesses auxquelles les mises à jour de sécurité existantes n'avaient pas remédié.
Pour les organisations qui s'appuient sur des smartphones Android pour accéder à leur messagerie professionnelle, à leurs applications cloud et à leurs services d'authentification, ces résultats montrent pourquoi la sécurité mobile exige davantage que l'installation régulière de correctifs.
Trois équipes remportent 562 500 dollars américains pour avoir piraté le Pixel 10
Lors du concours organisé à Cork, en Irlande, la Zero Day Initiative (ZDI) a confirmé trois exploits à distance réussis contre le Pixel 10. La ZDI a publié les résultats suivants le 8 octobre :
Équipe de recherche | Exploit démontré | Récompense |
| Xint : Tim Becker et Yves Bieri | Une collision de vulnérabilités | $150,000 |
| Ikotas Labs | Plusieurs failles enchaînées, qualifiées de collision | $300,000 |
| Dimitrios Valsamaras, Ken Gannon et Tenia Valsamara | Chaîne de deux failles : une collision et une faille zero-day | $112,500 |
Le gain de 300 000 dollars américains remporté par Ikotas Labs lui a également permis de décrocher le titre de Master of Pwn. Les trois démonstrations réussies contre le Pixel ont impliqué des collisions de vulnérabilités, mais la troisième équipe a aussi utilisé une faille zero-day. Ces résultats ne signifient pas que les chercheurs ont découvert trois vulnérabilités entièrement nouvelles.
Ce que les exploits révèlent sur les correctifs existants
Une collision de vulnérabilités signifie qu'un exploit recoupe une faille déjà connue de l'organisateur ou de l'éditeur ; cela ne signifie pas nécessairement qu'un correctif était disponible. Les règles du concours exigent que les cibles exécutent le système d'exploitation entièrement mis à jour et autorisent les attaques à distance via du contenu web chargé dans le navigateur par défaut, ou via les communications NFC, Wi-Fi, Bluetooth ou de bande de base. Les résultats de la ZDI n'indiquent pas quelles méthodes les équipes ont utilisées sur le Pixel. Le terme « à distance » ne doit donc pas être interprété comme la confirmation d'une attaque sans clic.
Google a publié son Bulletin de mise à jour Pixel d'octobre le 6 octobre, deux jours avant les démonstrations. Les résultats du troisième jour publiés par la ZDI n'identifient ni les composants concernés, ni les CVE, ni les correctifs associés. Les chercheurs qui réussissent doivent fournir leurs exploits et leur documentation technique à la ZDI, afin qu'elle les communique aux éditeurs concernés. Les démonstrations n'établissent pas que des criminels utilisent les mêmes exploits contre les propriétaires de Pixel 10.
Ce que les équipes de sécurité devraient vérifier en attendant les correctifs
Les smartphones professionnels peuvent donner accès à la messagerie d'entreprise, à des sessions cloud actives et à des identifiants d'authentification. COE Security a indiqué que les conséquences d'un appareil compromis dépendent de ses autorisations et des services auxquels il peut accéder, et pas uniquement du téléphone lui-même.
Les détails techniques des exploits du Pixel 10 n'ayant pas encore été divulgués, les organisations disposent de peu d'informations sur les faiblesses précises utilisées par les chercheurs. Les équipes de sécurité peuvent néanmoins renforcer leurs défenses mobiles en se concentrant sur trois mesures concrètes :
- Examinez la sécurité des appareils. Faites l'inventaire des téléphones professionnels et personnels utilisés à des fins professionnelles (BYOD), vérifiez les mises à jour et imposez les exigences de gestion des appareils mobiles.
- Limitez les accès sensibles. Utilisez des règles d'accès conditionnel et du moindre privilège, et assurez-vous que les sessions professionnelles peuvent être révoquées si un téléphone est compromis.
- Préparez-vous aux divulgations. Suivez les avis de Google et de la ZDI, et établissez des procédures pour isoler les appareils concernés et déployer les correctifs dès qu'ils sont disponibles.
Ces mesures sont des précautions de sécurité générales, et non des mesures d'atténuation confirmées pour les exploits spécifiques du concours. Pour les organisations qui gèrent des appareils Android, le principal enseignement est de combiner l'installation des correctifs à un contrôle des accès professionnels. Même à jour, un téléphone doit rester soumis aux politiques applicables aux appareils, aux restrictions d'accès et aux procédures de réponse aux incidents. Ces contrôles donnent aux administrateurs les moyens de limiter une éventuelle exposition pendant qu'ils évaluent les futures divulgations et les correctifs confirmés.
À lire aussi : le Pixel 10 n'était pas le seul smartphone Android haut de gamme ciblé lors de Pwn2Own Ireland. Le Galaxy S26 de Samsung a été piraté sept fois pendant la même compétition, ce qui soulève des préoccupations similaires concernant les vulnérabilités connues et les limites des mises à jour de sécurité.