AllWinner accusé d’avoir laissé une backdoor dans son Kernel Linux

On connait bien Allwinner, le créateur des puces du même nom sur une base de conception ARM. Ce concepteur fabless ne possède pas ses propres usines mais fait fondre ses solutions par d’autres professionnels. Ce schéma de fonctionnement lui permet de fabriquer des solutions très abordables et plutôt efficaces.

Allwinner a la particularité d’avoir toujours travaillé de manière assez opaque dans le monde du libre, c’est à dire d’avoir fourni un support aux diverses communautés Linux pour que celles-ci puissent porter des distributions Linux sur ses SoC. Mais de l’avoir fait sans elles. Les diverses images disponibles étant livrées à prendre ou à laisser, avec de larges part non détaillées et totalement fermées. Les circuits graphiques, comme d’habitude, mais également d’autres éléments absolument pas répertoriés et travaillant « dans l’ombre ». AllWinner a également été accusé de violer plusieurs licences GPL du monde du libre sans jamais se donner la peine de régulariser ces problèmes.

Malgré cela, et du fait du bon rapport performances/prix de ces puces, de nombreuses solutions sont apparues avec ces SoC. Parmi les tablettes, TV Box et autres minimachines, bon nombre de cartes de développement. Les cartes Orange Pi et Banana Pi par exemple, sont équipées de puces AllWinner. Les FriendlyARM également et beaucoup d’autres qui veulent allier performances et prix léger.

Or toutes ces solutions emploient un Kernel Linux troué d’une faille importante et totalement exploitable. Baptisé linux-3.4-sunxi, ce Kernel est également à la base de multiples versions d’Android exploitées par les fabricants qui équipent leurs tablettes ou TV-Box de SoC de la marque. Cette faille, permet à n’importe quelle application d’envoyer quelques instructions lui permettant de devenir root, c’est à dire prendre le contrôle total de l’engin sur laquelle elle est installée. Une vulnérabilité énorme qui ouvre la porte aux pires méfaits informatiques.

Du pur vandalisme de base consistant à rendre la carte inopérante, au système de racket par chiffrement des données en passant par l’espionnage de vos faits et gestes. Si une application peut prendre le contrôle de votre machine, il lui est facile d’installer en toute  discrétion d’autres codes ou services et de commencer, par exemple, à surveiller vos manipulations. Envoyer votre code de carte bleue à un tiers via le réseau par exemple est assez facile.

Il n’est pas encore sur que ce bout de code ait été laissé volontairement par AllWinner ou s’il s’agit d’un oubli de la part des développeurs après leurs phases de tests. AllWinner n’est cependant pas très clair sur le problème, au lieu de l’assumer et de le régler au plus vite, la marque a commencé par effacer les informations concernant cette faille de son compte Github. Un manque de transparence qu’on pourrait juger coupable.  Volontaire ou non, le résultat de cet « oubli » est le même, le risque d’infection est élevé en utilisant ces puces sous un Kernel Linux.

C’est le cas de nombreuses solutions dans le monde des cartes de développement qui pourrait ainsi souffrir d’une importante brèche de sécurité. Rares sont les solutions de ce genre servant de machines classiques beaucoup de ces cartes sont employées en domotique…  On imagine bien les sueurs froides de toute personne ayant une porte dérobée logicielle sur le système qui contrôle la sécurité de ses vraies portes physiques.

Si on peut s’attendre à une mise à jour de ce Kernel un jour ou l’autre maintenant que le pot aux roses est découvert, il n’est pas sur que toutes les solutions déjà commercialisées soient patchées. Les tablettes et TV-Box d’anciennes générations ne risquent pas de voir leur image mise à jour. Et du fait de la confidentialité du problème, les rares qui le seront n’auront de toutes façons pas beaucoup d’échos chez les utilisateurs finaux.

Source : ArsTechnica