Faille zero-day Samsung : CVE-2025-21043 et l'exploitation via des images sur Android

En septembre 2025, Samsung a poussé une mise à jour de sécurité qui corrigeait une faille zero-day déjà exploitée dans la nature. La CVE-2025-21043 touchait une bibliothèque propriétaire de traitement d'images présente sur des millions d'appareils Galaxy. Le point important, c'est que cette vulnérabilité permettait à un attaquant distant d'exécuter du code arbitraire sans que l'utilisateur ait forcément à cliquer sur quoi que ce soit de suspect.

La faille se situait dans libimagecodec.quram.so, un composant développé par Quramsoft et chargé de décoder différents formats d'images sur Android Samsung. Il s'agissait d'un problème d'écriture hors limites (out-of-bounds write) qui, une fois déclenché par une image spécialement forgée, ouvrait la porte à l'exécution de code avec des privilèges élevés. Score CVSS : 8.8, donc critique. Samsung l'a patchée dans le SMR de septembre 2025 (Release 1) après avoir été informée mi-août par les équipes de Meta et WhatsApp.

Comment une simple image peut compromettre un téléphone

Le vecteur d'attaque le plus probable passait par les applications de messagerie. Un fichier image malveillant arrive via WhatsApp, Signal ou un autre client, la bibliothèque le traite en arrière-plan pour l'afficher dans la galerie ou la conversation, et boom : l'exploit s'exécute. Pas besoin d'ouvrir l'image en grand, parfois le simple préchargement suffit. C'est exactement le genre de faille que les acteurs sophistiqués adorent parce qu'elle peut être utilisée en zero-click ou near-zero-click.

Samsung a confirmé que des attaques réelles avaient eu lieu avant le correctif. On ne sait pas encore publiquement qui était derrière ces campagnes précises, mais le fait que la faille soit passée en production et ait été exploitée montre bien que les équipes de threat intelligence de Meta et WhatsApp ont eu raison de la signaler rapidement.

Le précédent LANDFALL : quand le même type de faille sert à de l'espionnage ciblé

Quelques mois plus tôt, une vulnérabilité très proche dans la même bibliothèque (CVE-2025-21042, patchée en avril 2025) avait été utilisée par un spyware commercial baptisé LANDFALL. Palo Alto Networks Unit 42 a documenté la campagne fin 2025 : des fichiers DNG (un format RAW photo) trafiqués, livrés probablement via WhatsApp, qui contenaient un ZIP caché avec des modules de chargement et de manipulation SELinux.

Les cibles : des Galaxy S22, S23, S24, Z Fold4 et Z Flip4, principalement au Moyen-Orient (Irak, Iran, Turquie, Maroc). Le spyware permettait l'enregistrement audio, la géolocalisation, l'exfiltration de photos, SMS, contacts, historique d'appels, et même l'injection de modules supplémentaires. Tout ça de façon modulaire et relativement furtive. La campagne a tourné de mi-2024 à début 2025 environ.

Ce qui est intéressant, c'est que les deux failles (21042 et 21043) touchent le même composant fermé. Ça illustre une tendance : les bibliothèques de parsing d'images deviennent des cibles de choix pour les acteurs qui veulent déployer des outils d'espionnage sans interaction utilisateur visible.

Quels appareils étaient vraiment exposés ?

Principalement les Samsung sous Android 13, 14, 15 et 16 avant le patch de septembre 2025 pour la CVE-2025-21043. Les modèles les plus récents (séries S et Z des dernières générations) étaient évidemment concernés, mais la bibliothèque étant assez ancienne dans le code Samsung, beaucoup d'appareils de milieu de gamme l'embarquaient aussi.

Pour LANDFALL, les chercheurs ont identifié des builds spécifiques sur S22/S23/S24 et certains pliables. Mais le principe reste le même : tant que le niveau de patch de sécurité n'était pas à jour, le risque existait.

Ce qu'il faut faire concrètement aujourd'hui

Si vous avez un Samsung Galaxy, la réponse est simple : vérifiez que vous avez bien installé toutes les mises à jour de sécurité. Allez dans Paramètres > Mise à jour logicielle > Télécharger et installer. Regardez aussi le niveau du patch de sécurité (il doit être postérieur à septembre 2025 pour cette faille-là).

Les mises à jour mensuelles de Samsung (SMR) arrivent parfois avec un peu de retard selon les régions et les opérateurs, mais une fois disponibles, il faut les appliquer rapidement. Les zero-days de ce type ne restent pas longtemps « zero » une fois qu'ils sont connus et exploités.

Et honnêtement, même si la faille est corrigée depuis des mois, ce genre d'histoire rappelle pourquoi il ne faut jamais reporter les mises à jour de sécurité sur un téléphone. Surtout quand on parle d'un appareil qui contient nos conversations, nos photos, notre localisation et parfois nos accès professionnels.

Pourquoi ces failles reviennent régulièrement dans l'actualité

Les bibliothèques de traitement d'images sont omniprésentes : messagerie, galerie, réseaux sociaux, apps photo… Elles doivent gérer des dizaines de formats, souvent avec du code propriétaire optimisé pour les chipsets Samsung (Exynos ou Snapdragon). Plus le code est complexe et fermé, plus il est difficile à auditer exhaustivement. Les attaquants le savent.

On a vu des schémas similaires ailleurs : Apple a aussi corrigé des problèmes de parsing DNG en 2025. Le pattern est clair : une image arrive, le parser foire, l'attaquant gagne l'exécution de code. C'est discret, scalable et très efficace pour des campagnes ciblées ou plus larges.

En résumé

La faille zero-day Samsung de septembre 2025 (CVE-2025-21043) n'était pas une faille théorique. Elle était exploitée. Elle a été corrigée. Le cas LANDFALL montre ce que des acteurs motivés peuvent faire avec une vulnérabilité comparable dans le même composant.

La leçon reste la même qu'il y a dix ans et qu'elle sera encore dans dix ans : sur mobile, la première ligne de défense, c'est la mise à jour. Tout le reste (applications de sécurité, vigilance, etc.) vient après. Si vous n'avez pas encore installé le patch de septembre 2025 ou les suivants sur votre Galaxy, c'est le moment. Mieux vaut prévenir que se retrouver avec un téléphone qui écoute ou exfiltre sans qu'on s'en rende compte.