Faille critique dans Samsung Knox permet de contourner les protections du noyau
Une faille critique dans le cadre de sécurité Samsung KNOX aurait pu permettre à des attaquants de contourner les protections du noyau et de prendre le contrôle de millions d’appareils Galaxy. Répertoriée sous le nom CVE-2026-20971, cette vulnérabilité est un problème d’usage après libération dans l’interaction entre les sous-systèmes noyau PROCA et FIVE, conçus pour garantir l’intégrité des processus. Samsung a corrigé cette faille en janvier 2026, mais la fenêtre qu’elle a laissée ouverte souligne comment même les couches de sécurité peuvent devenir des vecteurs d’attaque.
Une condition de concurrence au cœur de KNOX
La vulnérabilité exploite une condition de concurrence dans la gestion des changements d’état des processus par KNOX. Lorsqu’un processus se duplique ou appelle execve(), le système abandonne l’ancien objet d’intégrité et en crée un nouveau. Cependant, l’ordonnancement préemptif du noyau Android peut suspendre un fil d’exécution en plein milieu d’une opération, le rendant vulnérable à l’accès à une mémoire libérée. Des chercheurs de LucidBit Labs ont démontré comment un attaquant pourrait exploiter cet intervalle : un fil libère l’objet d’intégrité tandis qu’un autre, suspendu, reprend plus tard son exécution et tente de lire un pointeur désormais invalide.
De la théorie à l’exploitation
Exploiter cette faille ne nécessite qu’une application non fiable, ce qui la rend accessible aux attaquants disposant d’un accès local, même via un téléphone égaré ou un appareil emprunté. La vulnérabilité offre plusieurs primitives de corruption mémoire, pouvant potentiellement conduire à une compromission totale de l’appareil. Bien que l’intégrité du flux de contrôle du noyau de Samsung (KCFI) limite certains abus en bloquant les appels de fonctions arbitraires, elle n’a pas suffi à empêcher l’attaque. Les chercheurs l’ont contournée en chargeant un fichier non exécutable, supprimant une protection essentielle et permettant une réallocation contrôlée de la mémoire.
Une leçon plus large sur la conception de la sécurité
Cet incident met en lumière un principe fondamental : les contrôles de sécurité ne doivent pas être exempts d’un examen rigoureux, simplement parce qu’ils sont conçus pour se défendre. Les outils de surveillance au niveau noyau, les systèmes de validation des processus et les médiateurs de confiance fonctionnent tous au sein de la même surface d’attaque que le code qu’ils protègent. La faille de KNOX rappelle que même les protections les plus robustes peuvent cacher des vulnérabilités, exigeant une vigilance constante et non pas seulement des défenses en couches. Le correctif rapide de Samsung illustre l’importance d’une réponse rapide, mais cet épisode rappelle aussi qu’aucune couche de sécurité n’est impénétrable.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.