Des failles de s\u00e9curit\u00e9 ont \u00e9t\u00e9 identifi\u00e9es dans les mod\u00e8les Xiaomi Redmi Note 9T et Redmi Note 11, qui pourraient \u00eatre exploit\u00e9es pour d\u00e9sactiver le m\u00e9canisme de paiement mobile et m\u00eame falsifier des transactions via une application Android malveillante install\u00e9e sur les appareils.<\/p>\n
Check Point a d\u00e9clar\u00e9 avoir d\u00e9couvert les failles des appareils aliment\u00e9s par les chipsets MediaTek lors d’une analyse de s\u00e9curit\u00e9 de l’environnement d’ex\u00e9cution de confiance “Kinibi” du fabricant chinois de combin\u00e9s.<\/p>\n
Un TEE fait r\u00e9f\u00e9rence \u00e0 un enclave s\u00e9curis\u00e9e<\/a> \u00e0 l’int\u00e9rieur du processeur principal qui est utilis\u00e9 pour traiter et stocker des informations sensibles telles que les cl\u00e9s cryptographiques afin d’assurer la confidentialit\u00e9 et l’int\u00e9grit\u00e9.<\/p>\n Plus pr\u00e9cis\u00e9ment, la soci\u00e9t\u00e9 isra\u00e9lienne de cybers\u00e9curit\u00e9 a d\u00e9couvert qu’une application de confiance sur un appareil Xiaomi peut \u00eatre r\u00e9trograd\u00e9e en raison d’un manque de contr\u00f4le de version, permettant \u00e0 un attaquant de remplacer une version plus r\u00e9cente et s\u00e9curis\u00e9e d’une application par une variante plus ancienne et vuln\u00e9rable.<\/p>\n “Par cons\u00e9quent, un attaquant peut contourner les correctifs de s\u00e9curit\u00e9 apport\u00e9s par Xiaomi ou MediaTek dans les applications de confiance en les r\u00e9trogradant vers des versions non corrig\u00e9es”, a d\u00e9clar\u00e9 Slava Makkaveev, chercheur chez Check Point. a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n De plus, plusieurs vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 identifi\u00e9es dans “thhadmin”, une application de confiance responsable de la gestion de la s\u00e9curit\u00e9, qui pourrait \u00eatre exploit\u00e9e par une application malveillante pour divulguer des cl\u00e9s stock\u00e9es ou pour ex\u00e9cuter du code arbitraire dans le contexte de l’application.<\/p>\n “Nous avons d\u00e9couvert un ensemble de vuln\u00e9rabilit\u00e9s qui pourraient permettre de falsifier des packages de paiement ou de d\u00e9sactiver le syst\u00e8me de paiement directement \u00e0 partir d’une application Android non privil\u00e9gi\u00e9e”, a d\u00e9clar\u00e9 Makkaveev dans un communiqu\u00e9 partag\u00e9 avec The Hacker News.<\/p>\n Les faiblesses visent une application de confiance d\u00e9velopp\u00e9e par Xiaomi pour mettre en \u0153uvre des op\u00e9rations cryptographiques li\u00e9es \u00e0 un service appel\u00e9 Tencent Soter<\/a>qui est une “norme biom\u00e9trique” qui fonctionne comme un cadre de paiement mobile int\u00e9gr\u00e9 pour autoriser les transactions sur des applications tierces utilisant WeChat et Alipay.<\/p>\n Mais une vuln\u00e9rabilit\u00e9 de d\u00e9bordement de tas dans l’application de confiance soter signifiait qu’elle pouvait \u00eatre exploit\u00e9e pour induire un d\u00e9ni de service par une application Android qui n’a pas l’autorisation de communiquer directement avec le TEE.<\/p>\n Ce n’est pas tout. En encha\u00eenant l’attaque de r\u00e9trogradation susmentionn\u00e9e pour remplacer l’application de confiance soter par une version plus ancienne contenant une vuln\u00e9rabilit\u00e9 de lecture arbitraire, Check Point a d\u00e9couvert qu’il \u00e9tait possible d’extraire les cl\u00e9s priv\u00e9es utilis\u00e9es pour signer les packages de paiement.<\/p>\n “La vuln\u00e9rabilit\u00e9 […] compromet compl\u00e8tement la plate-forme Tencent soter, permettant \u00e0 un utilisateur non autoris\u00e9 de signer de faux packages de paiement \u00bb, a not\u00e9 la soci\u00e9t\u00e9.<\/p>\n Xiaomi, suite \u00e0 une divulgation responsable, a d\u00e9ploy\u00e9 correctifs<\/a> pour r\u00e9soudre CVE-2020-14125 le 6 juin 2022. “Le probl\u00e8me de r\u00e9trogradation, qui a \u00e9t\u00e9 confirm\u00e9 par Xiaomi comme appartenant \u00e0 un fournisseur tiers, est en cours de r\u00e9solution”, a ajout\u00e9 Check Point.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/Une-nouvelle-etude-revele-que-la-plupart-des-fournisseurs-dentreprise.png\")
<\/a><\/div>\n![\"T\u00e9l\u00e9phones](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1660316909_829_Les-telephones-Xiaomi-avec-puces-MediaTek-se-sont-reveles-vulnerables.jpg\" "\\"T\u00e9l\u00e9phones")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/07\/1656663365_395_Amazon-corrige-discretement-la-vulnerabilite-de-gravite-elevee-dans-lapplication.jpg\")
<\/a><\/div>\n