![Mobile Mobile](images/news/categories/gsm.png)
Google cite deux exemples assez flagrants. Le premier concerne une vulnérabilité GPU ARM Mali , découverte en juillet 2022 et corrigée par ARM en octobre 2022, mais qui n'est apparue dans le bulletin de sécurité d'Android qu'en avril 2023, soit 5 mois pleins après qu'elle avait déjà commencé à être exploitée. L'autre exemple concerne le navigateur Internet de Samsung , qui était vulnérable en partie parce qu'il était basé sur une version de Chromium datant de sept mois (102). Dans ce cas, les attaquants auraient pu utiliser deux vulnérabilités n-day capables de fonctionner comme 0-day : " CVE-2022-3038, qui a été patché dans Chrome 105 en juin 2022 et CVE-2022-22706 dans le pilote du noyau ARM Mali GPU ". Google poursuit en expliquant comment ARM avait " publié le correctif pour CVE-2022-22706 en janvier 2022 et même s'il était marqué comme exploité à l'état sauvage, les attaquants pouvaient toujours l'utiliser 11 mois plus tard en tant que 0-day. Bien que cela était connue pour être exploitée à l'état sauvage en janvier 2022, elle n'a été incluse dans le bulletin de sécurité Android qu'en juin 2023, 17 mois après la publication du correctif, et était publiquement connue pour être activement exploitée" . Mais pas seulement. Un autre sujet de préoccupation est que " plus de 40% des vulnérabilités 0-day étaient des variantes de vulnérabilités précédemment signalées ", ce qui signifie que les efforts doivent être redoublés pour empêcher les mauvais acteurs d'utiliser les mêmes vulnérabilités mais dans des domaines différents. Google conclut en précisant que les fabricants "doivent rapidement diffuser des correctifs aux utilisateurs afin qu'ils puissent être protégés", déclarant être le premier à accepter les critiques et les suggestions d'amélioration.
![](images/base_document.png)