Um bug simples de ignorar a tela de bloqueio do Android rendeu a um pesquisador US $ 70,000

O Google pagou US$ 70,000 a um pesquisador de segurança por relatar em particular um bug de segurança "acidental" que permitia a qualquer pessoa desbloquear telefones Google Pixel sem saber seu código de acesso.

O bug de ignorar a tela de bloqueio, rastreado como CVE-2022-20465, é descrito como um bug de escalonamento de privilégio local porque permite que alguém, com o dispositivo em mãos, acesse dados no dispositivo sem precisar inserir a senha na tela de bloqueio.

Pesquisador residente na Hungria David Schutz disse que o bug era incrivelmente simples de explorar, mas o Google levou cerca de cinco meses para consertá-lo.

Schütz descobriu que qualquer pessoa com acesso físico a um telefone Google Pixel poderia trocar seu próprio cartão SIM e inserir seu código de recuperação predefinido para ignorar as proteções de tela de bloqueio do sistema operacional Android. Em uma postagem de blog sobre o bug, publicada agora que o bug foi corrigido, Schütz descreveu como encontrou o bug acidentalmente e o relatou à equipe Android do Google.

As telas de bloqueio do Android permitem que os usuários definam uma senha numérica, senha ou padrão para proteger os dados em seu telefone ou, hoje, uma impressão digital ou impressão facial. O cartão SIM do seu telefone também pode ter um código PIN separado definido para impedir que um ladrão ejete fisicamente e roube seu número de telefone. Mas os cartões SIM têm um código de desbloqueio pessoal adicional, ou PUK, para redefinir o cartão SIM se o usuário digitar incorretamente o código PIN mais de três vezes. Os códigos PUK são bastante fáceis de obter para os proprietários de dispositivos, geralmente impressos na embalagem do cartão SIM ou diretamente no atendimento ao cliente da operadora de celular.

Schütz descobriu que o bug significava que inserir o código PUK de um cartão SIM era suficiente para enganar seu telefone Pixel 6 totalmente corrigido e o Pixel 5 mais antigo para desbloquear seu telefone e dados, mesmo sem exibir visualmente a tela de bloqueio. Ele alertou que outros dispositivos Android também podem estar vulneráveis.

Como um ator mal-intencionado pode trazer seu próprio cartão SIM e seu código PUK correspondente, apenas o acesso físico ao telefone é necessário, disse ele. “O invasor pode simplesmente trocar o SIM no dispositivo da vítima e explorar com um cartão SIM que tenha um bloqueio de PIN e para o qual o invasor conheça o código PUK correto”.Schutz disse.

Google pode pagar a pesquisadores de segurança até US$ 100,000 por relatórios privados de bugs isso poderia permitir que alguém ignorasse a tela de bloqueio, pois uma exploração bem-sucedida permitiria o acesso aos dados de um dispositivo. As recompensas por bugs são altas em parte para competir com os esforços de empresas como a Cellebrite e a Grayshift, que dependem de vulnerabilidades de software para construir e vender tecnologia de cracking de telefones para a aplicação da lei. Neste caso, O Google pagou a Schütz uma recompensa de bug menor de $ 70,000 porque, embora seu bug fosse sinalizado como duplicado, o Google não conseguiu reproduzir ou corrigir o bug relatado antes dele.

O Google corrigiu o bug do Android em uma atualização de segurança lançada em 5 de novembro de 2022 para dispositivos com Android 10 a Android 13.