Une équipe de chercheurs en cybersécurité a mis en lumière une chaîne d’exploitation particulièrement sophistiquée : l’enchaînement de plusieurs failles dans des applications Samsung a permis de pousser un appareil au plus haut niveau de privilèges accessible sur un système Android grand public. L’objectif final n’était pas seulement d’ouvrir une porte dérobée, mais d’abuser du fonctionnement de Bixby, l’assistant virtuel intégré aux smartphones Galaxy.
Les démonstrations ont été présentées lors d’une compétition de hacking et, plus tard, détaillées à la conférence Black Hat. Même si les correctifs ont été déployés au fil des semaines, l’étude reste utile pour comprendre comment une suite de vulnérabilités peut se transformer en prise de contrôle à distance.
Une chaîne d’exploitation conçue pour l’accès à distance
Le scénario décrit par les chercheurs commence de manière classique : un attaquant incite la victime à cliquer sur un lien. Ce lien est distribué via des publicités malveillantes ou via des applications de messagerie, ce qui permet d’atteindre l’utilisateur sans déclencher forcément d’alertes.
Une fois le clic effectué, l’attaque exploite une vulnérabilité référencée CVE-2025-21079. Le résultat recherché est d’obliger l’application Samsung Members (communauté officielle, outils de diagnostic et support) à se connecter à un site contrôlé par l’attaquant.
À partir de là, l’attaquant enchaîne avec d’autres étapes. Le site malveillant force ensuite l’ouverture de Samsung Account, l’application utilisée pour relier l’utilisateur aux services Samsung. Cette progression est importante : elle permet à l’attaquant de passer d’un contexte applicatif à un autre, en tirant parti des capacités et des autorisations détenues par les applications légitimes.
Des failles qui pivotent d’app en app jusqu’à Bixby
La chaîne d’exploitation ne s’arrête pas à Samsung Members. Après l’ouverture de Samsung Account, les chercheurs indiquent qu’une seconde vulnérabilité, CVE-2025-58486, est utilisée pour forcer l’application à se connecter à nouveau à un domaine contrôlé par l’attaquant.
Ensuite, l’attaque exploite une vulnérabilité de type XSS (Cross-Site Scripting) référencée CVE-2025-58487. L’objectif de cette étape est de pousser Samsung Account à ouvrir Bixby.
Bixby n’est pas un simple écran d’assistant : il peut traiter des commandes vocales, effectuer des recherches visuelles et exécuter des routines d’automatisation sur le dispositif. C’est précisément ce potentiel qui rend l’abus particulièrement intéressant pour un attaquant : si le contrôle de Bixby est détourné, la surface d’attaque s’élargit.
Pourquoi Samsung Account peut “entrer” dans Bixby
Les chercheurs expliquent que cette transition vers Bixby est rendue possible par une logique d’autorisations interne. En particulier, l’application Samsung Account dispose d’une permission spéciale nécessaire pour interagir avec un point d’entrée identifié dans l’infrastructure de Bixby.
L’un des responsables de l’équipe a illustré le principe en le comparant à une “porte latérale” : Samsung Account serait la “clé” permettant d’accéder à cette entrée spécifique. Autrement dit, l’attaque ne repose pas uniquement sur l’exploitation technique d’une faille, mais aussi sur le fait qu’une application légitime détient l’autorisation adéquate pour déclencher un comportement ciblé.
La charge “cachée” : les Capsules et l’escalade de privilèges
Une fois Bixby ouvert, l’attaque prépare la phase la plus sensible. Les chercheurs évoquent un composant interne nommé Capsule : il s’agit d’un service en arrière-plan, généralement caché, qui agit comme une forme de mini serveur au sein d’une application.
Le mécanisme décrit est le suivant : lorsqu’un utilisateur émet une commande via Bixby, l’assistant traduit la demande, puis la transmet à la Capsule correspondante pour exécuter la tâche. Comme ces Capsules peuvent piloter directement des fonctions applicatives, Samsung limite normalement l’accès à Bixby uniquement.
Mais les chercheurs ont réussi à analyser l’infrastructure des Capsules sur les appareils et à trouver une manière de contraindre Bixby à utiliser des Capsules de façon malveillante. Cette étape est centrale dans la chaîne d’exploitation, car elle permet d’aller au-delà d’une simple exécution de code et d’atteindre des capacités très élevées.
De la donnée extraite au contrôle “niveau système”
Grâce à ce détournement, l’attaquant obtient plusieurs effets : l’exfiltration de données sensibles et surtout une élévation des privilèges jusqu’au niveau “system”. Les chercheurs précisent que ce niveau correspond au maximum atteignable sur un appareil Android grand public non modifié.
Une fois les privilèges de type système obtenus, il devient alors possible de réaliser une exécution de code à distance et de prendre le contrôle effectif du terminal. En pratique, cela signifie que l’attaquant n’est plus limité à un comportement circonscrit : l’appareil peut être piloté avec des droits très étendus.
Les chercheurs déclarent avoir reproduit l’exploit sur plusieurs modèles, notamment Samsung Galaxy S25, Samsung Galaxy S24 et Flip 7.
Correctifs : ce que Samsung a publié et quand
Après la démonstration lors de Pwn2Own, Samsung a commencé à corriger les vulnérabilités au fil des mises à jour. D’après les informations partagées, les premiers correctifs ont été déployés en novembre 2025 pour l’application Samsung Members. Cette mise à jour vise à empêcher que la chaîne d’exploitation soit déclenchée via un navigateur web ou une application de messagerie.
Par la suite, en décembre 2025, des correctifs ont été publiés pour les problèmes liés à Samsung Account. L’idée est de neutraliser les étapes qui servent de pivot entre les différentes applications, ainsi que les mécanismes permettant l’accès à Bixby.
Les chercheurs indiquent toutefois que l’attaque peut fonctionner sur des appareils plus anciens n’ayant pas reçu les correctifs. Ils notent aussi une condition : l’exploit nécessite que toutes les applications ciblées soient présentes. Pour les modèles phares, ces applications sont généralement préinstallées, mais la situation peut varier selon les gammes de prix.
Enfin, aucune réponse officielle de Samsung n’a été communiquée à la publication de ces résultats.
Ce que cette étude change pour la sécurité mobile
Au-delà des failles individuelles, cette affaire illustre un point important : une chaîne d’exploitation peut transformer des vulnérabilités séparées en un chemin complet vers la compromission. Même lorsqu’un composant est “réputé” sûr, une étape de pivot mal protégée (par exemple via une application disposant de permissions spécifiques) peut briser l’ensemble.
Pour les utilisateurs, la leçon la plus concrète reste la même : appliquer rapidement les mises à jour et vérifier que le système et les applications essentielles sont à jour. Pour les organisations et les équipes sécurité, l’étude montre aussi l’importance de surveiller les scénarios “bout-à-bout” entre applications, et pas uniquement les comportements isolés.
Conclusion
La démonstration de cette chaîne d’exploitation met en évidence la façon dont un attaquant peut enchaîner des failles — d’abord dans Samsung Members, puis dans Samsung Account, et enfin dans l’interaction avec Bixby — pour atteindre des privilèges de type système et permettre le contrôle à distance. Bien que des correctifs aient été publiés après l’événement, l’existence d’appareils plus anciens rappelle que la sécurité mobile dépend fortement de la rapidité des mises à jour et de la continuité des protections entre applications.
Source: https://www.securityweek.com/how-a-50000-exploit-chain-turned-bixby-against-samsung-phones/
