Samsung met en garde les utilisateurs de Galaxy contre une attaque grave exploitant une vulnérabilité dans sa bibliothèque d'analyse d'images. L'entreprise a publié un correctif en septembre, qui corrige la vulnérabilité, désignée CVE-2025-21043. Ce problème affecte les appareils fonctionnant sous Android 13 et versions ultérieures, et le fabricant affirme que la vulnérabilité a déjà été exploitée lors d'attaques réelles. Une vulnérabilité précédemment découverte réside dans une bibliothèque propriétaire de Quramsoft utilisée par des applications de traitement d'images. L'attaque consiste à envoyer un fichier image spécialement conçu sur le téléphone de la victime. Lorsque le système tente de traiter le fichier, il écrit au-delà de la mémoire allouée. Les données écrasées peuvent contenir des fragments de code que le système exécute sous certaines conditions, donnant ainsi à l'attaquant un contrôle total sur l'appareil. Les experts décrivent le mécanisme de cette faille comme une écriture mémoire hors limites. Ce type de bug est considéré comme grave car il permet l'exécution de code à distance sans interaction de l'utilisateur. Les attaques « zéro clic » de ce type sont particulièrement dangereuses : elles ne nécessitent aucune action de la victime et ne génèrent donc aucun signal d'avertissement.

La vulnérabilité a été jugée « critique ». Le rapport provient de l'équipe de sécurité de WhatsApp. On ignore si le problème se limite à cette application ou s'il affecte également d'autres applications utilisant la même bibliothèque. Avec environ trois milliards d'utilisateurs actifs de WhatsApp, l'impact potentiel de l'attaque pourrait être considérable. En pratique, les attaques « zéro clic » sont rarement utilisées et de manière sélective. Elles sont souvent menées par des groupes bien financés au sein des services de renseignement d'État, qui mènent des campagnes ciblant des personnalités publiques, des journalistes d'investigation, des diplomates et des fonctionnaires des ministères de la Défense. En raison du coût élevé de développement d'un tel outil et de son utilité à court terme, les attaquants choisissent des cibles présentant une valeur stratégique en matière de renseignement.

Samsung a identifié la vulnérabilité et mis en œuvre un correctif, mais l'incident met également en évidence les interdépendances au sein de la chaîne d'approvisionnement des logiciels mobiles. Le problème résidait dans une bibliothèque tierce utilisée par des applications populaires. Cela rappelle que même la politique de sécurité rigoureuse d'un fabricant d'appareils n'élimine pas le risque associé aux composants tiers. Les développeurs d'applications et les fournisseurs de bibliothèques doivent effectuer des tests réguliers et réagir rapidement aux bugs découverts.