Un semplice bug di bypass della schermata di blocco di Android ha fruttato a un ricercatore $ 70,000

Google ha pagato $ 70,000 a un ricercatore di sicurezza per aver segnalato privatamente un bug di sicurezza "accidentale" che consentiva a chiunque di sbloccare i telefoni Google Pixel senza conoscere il codice di accesso.

Il bug di bypass della schermata di blocco, tracciato come CVE-2022-20465, è descritto come un bug di escalation dei privilegi locali perché consente a qualcuno, dispositivo in mano, di accedere ai dati sul dispositivo senza dover inserire il passcode dalla schermata di blocco.

Ricercatore residente in Ungheria Davide Schutz ha affermato che il bug era straordinariamente semplice da sfruttare, ma Google ha impiegato circa cinque mesi per risolverlo.

Schütz ha scoperto che chiunque abbia accesso fisico a un telefono Google Pixel potrebbe scambiare la propria scheda SIM e inserire il codice di ripristino preimpostato per aggirare le protezioni della schermata di blocco del sistema operativo Android. In un post sul blog sul bug, pubblicato ora che il bug è stato risolto, Schütz ha descritto come ha trovato il bug accidentalmente e lo ha segnalato al team Android di Google.

Le schermate di blocco Android consentono agli utenti di impostare un passcode numerico, una password o una sequenza per proteggere i dati sul proprio telefono o, oggi, un'impronta digitale o un'impronta facciale. La scheda SIM del tuo telefono potrebbe anche avere un codice PIN separato impostato per impedire a un ladro di espellere fisicamente e rubare il tuo numero di telefono. Ma le carte SIM hanno un codice di sblocco personale aggiuntivo, o PUK, per reimpostare la carta SIM se l'utente inserisce il codice PIN in modo errato più di tre volte. I codici PUK sono abbastanza facili da ottenere per i proprietari di dispositivi, spesso stampati sulla confezione della scheda SIM o direttamente dal servizio clienti dell'operatore di telefonia cellulare.

Schütz ha scoperto che il bug significava che l'inserimento del codice PUK di una scheda SIM era sufficiente per ingannare il suo telefono Pixel 6 completamente patchato e il vecchio Pixel 5 per sbloccare il telefono e i dati, senza nemmeno visualizzare visivamente la schermata di blocco. Ha avvertito che anche altri dispositivi Android potrebbero essere vulnerabili.

Poiché un attore malintenzionato potrebbe portare la propria carta SIM e il codice PUK corrispondente, è richiesto solo l'accesso fisico al telefono, ha affermato. "L'attaccante potrebbe semplicemente scambiare la SIM sul dispositivo della vittima e sfruttarla con una scheda SIM che aveva un blocco PIN e per la quale l'attaccante conosceva il codice PUK corretto."Schutz ha detto.

Google può pagare i ricercatori di sicurezza fino a $ 100,000 per la segnalazione privata di bug ciò potrebbe consentire a qualcuno di aggirare la schermata di blocco, poiché un exploit riuscito consentirebbe l'accesso ai dati di un dispositivo. I bug bounty sono alti in parte per competere con gli sforzi di aziende come Cellebrite e Grayshift, che fanno affidamento sulle vulnerabilità del software per costruire e vendere tecnologia di cracking del telefono alle forze dell'ordine. In questo caso, Google ha pagato a Schütz una taglia di bug inferiore di $ 70,000 perché mentre il suo bug è stato contrassegnato come duplicato, Google non è stato in grado di riprodurre o correggere il bug segnalato prima di lui.

Google ha risolto il bug di Android in un aggiornamento della sicurezza rilasciato il 5 novembre 2022 per i dispositivi con Android 10 fino ad Android 13.