Google corregge un bug nei telefoni Pixel che consente l’accesso al codice PUK al dispositivo – Tablet e telefoni – Notizie

Il ricercatore di sicurezza David Schütz ha scoperto una vulnerabilità in Android che consente di sbloccare un telefono protetto da PIN o impronte digitali utilizzando il codice PUK di una scheda SIM. La vulnerabilità è stata poi risolta da Google.

Ad ogni modo, la vulnerabilità ha funzionato per Pixel 6, Pixel 5 e forse anche altri smartphone. dice Schutz. La vulnerabilità ha funzionato rimuovendo la scheda SIM dal telefono e reinserindola, chiedendo all’utente di inserire il PIN della scheda SIM. L’attaccante quindi inserisce il PIN in modo errato tre volte di proposito, chiedendo all’utente di inserire il codice PUK.

Quando questo codice PUK viene inserito correttamente, il telefono si sblocca immediatamente. Quindi anche se è impostata un’impronta digitale o un codice PIN. Per la vulnerabilità, l’attaccante deve avere accesso al telefono e conoscere anche il codice PUK della carta SIM. Un utente malintenzionato può ottenere quest’ultimo inserendo una scheda SIM con un codice PUK noto.

Il CVE-2022-20465La vulnerabilità ha funzionato secondo l’elenco CVE nelle versioni Android da 10 a 13 ed era in KeyguardHostViewController.javafile e file correlati. per colpa di Errore in questo file Dopo che il codice PUK è stato inserito correttamente, il sistema operativo ha spento tutte le altre schermate di sicurezza, in modo che in pratica il sistema operativo vedesse il codice PUK corretto come PIN o impronta digitale inseriti correttamente. Il bug non è su tutti i telefoni: Tweakers ha testato la vulnerabilità su un Galaxy A51 che non è stato ancora aggiornato e l’inserimento di un codice PUK non ha sbloccato questo telefono.

Schutz ha contattato Google a giugno, ma il bug non è stato corretto fino a novembre. Il ricercatore di sicurezza afferma che la connessione è stata difficile e Google l’ha presa sul serio solo quando è stato in grado di mostrare il bug a un certo numero di dipendenti di Google nella fiera del bug. Schütz ha ricevuto una taglia di $ 70.000 per aver segnalato la vulnerabilità, come eccezione. Non è stato il primo ricercatore a segnalare il bug, ma poiché ha chiamato più e più volte, ha comunque ricevuto la ricompensa.