Luka, która dotyczy „pozornie wszystkich” telefonów Google Pixel, mogła umożliwić niepożądanym stronom uzyskanie dostępu do zablokowanego urządzenia Pixel.
Według wpisu na blogu (otwiera się w nowej karcie) badacza cyberbezpieczeństwa Davida Schütza, którego raport o błędzie przekonał Google do podjęcia działań, błąd został naprawiony dopiero po aktualizacji zabezpieczeń z 5 listopada 2022 r. sześć miesięcy po złożeniu. Twój raport o błędzie.
Luka zidentyfikowana jako CVE-2022-20465 (otwiera się w nowej karcie) umożliwiła osobie atakującej z fizycznym dostępem obejście zabezpieczeń ekranu blokady, takich jak odcisk palca i kod PIN, oraz uzyskanie pełnego dostępu do urządzenia użytkownika.
Jak działał exploit?
Schütz, który twierdził, że poprzedni raport o błędzie od innego badacza wskazujący na problem został zignorowany, powiedział, że exploit był prosty i łatwy do odtworzenia.
Polegało to na zablokowaniu karty SIM poprzez trzykrotne wprowadzenie błędnego kodu PIN, ponownym włożeniu tacki SIM, zresetowaniu kodu PIN poprzez wprowadzenie kodu PUK karty SIM (który powinien znajdować się w oryginalnym opakowaniu), a następnie wybraniu nowego kodu PIN.
Ponieważ atakujący mógł po prostu przynieść własną kartę SIM z blokadą PIN, według Schütza do uruchomienia exploita potrzebny był tylko fizyczny dostęp.
Potencjalni napastnicy mogliby po prostu zamienić taką kartę SIM w urządzeniu ofiary i uruchomić exploita z kartą SIM, która posiada blokadę PIN i dla której atakujący zna poprawny kod PUK.
Trzeba przyznać Google, że pomimo powagi exploita, Schütz twierdzi, że po przesłaniu raportu szczegółowo opisującego lukę, Google poradził sobie z exploitem w 37 minut.
Chociaż Schultz nie przedstawił żadnych dowodów, stwierdził, że mogło to mieć wpływ na innych dostawców Androida. Z pewnością jest to możliwe, ponieważ Android jest systemem operacyjnym typu open source.
Nie jest to również pierwszy raz, gdy badacz bezpieczeństwa odkrył poważne luki w zabezpieczeniach telefonów z Androidem.
W kwietniu 2022 r. firma Check Point Research (otwiera się w nowej karcie) (CPR) odkryła usterkę, która, jeśli nie zostanie naprawiona, może narazić dużą liczbę telefonów z Androidem na zdalne wykonanie kodu z powodu luk w zabezpieczeniach dekoderów audio Qualcomm. i układy MediaTek.
