Siber güvenlik araştırmacısı David Schütz, tamamen yamalı Google Pixel 6 ve Pixel 5 akıllı telefonlarında kilit ekranını atlamanın bir yolunu buldu ve cihaza fiziksel erişimi olan herkesin kilidini açmasını sağladı.
Android telefonlarındaki kilit ekranını atlamak için güvenlik açığından yararlanmak, birkaç dakikadan fazla sürmeyecek basit beş adımlı bir işlemdir.
Google, geçen hafta yayınlanan en son Android güncellemesinde güvenlik sorununu düzeltti, ancak en az altı ay boyunca sömürü için kullanılabilir.
Schütz, Pixel 6'sının bataryası bittikten, pimini üç kez yanlış girdikten ve PUK (kişisel engelleme anahtarı) kodunu kullanarak kilitli SIM kartı kurtardıktan sonra kusuru kazara keşfettiğini söyledi.
Şaşırtıcı bir şekilde, SIM'in kilidini açtıktan ve yeni bir PIN seçtikten sonra, cihaz kilit ekranı şifresini istemedi, ancak yalnızca parmak izi taraması istedi.
Android cihazlar, güvenlik nedeniyle yeniden başlatıldıktan sonra her zaman bir kilit ekranı parolası veya desen ister, bu nedenle doğrudan parmak izi kilidine gitmek normal değildi.
Araştırmacı denemeye devam etti ve cihazı yeniden başlatmadan kusuru yeniden üretmeye çalıştığında, cihaz sahibi tarafından en az bir kez kilidini açıldığı sürece doğrudan ana ekrana gitmenin mümkün olduğunu düşündü (bypasping parmak izi de) yeniden başlat.
Bu güvenlik açığının etkisi oldukça geniştir ve Kasım 2022 Patch seviyesine güncellenmemiş Android sürümleri 10, 11, 12 ve 13'ü çalıştıran tüm cihazları etkilemektedir.
Bir cihaza fiziksel erişim güçlü bir ön koşuldur. Bununla birlikte, kusur hala küfürlü eşleri olan insanlar, kolluk soruşturmaları, çalıntı cihazların sahipleri vb.
Saldırgan, hedef cihazda kendi SIM kartlarını kullanabilir, üç kez yanlış pimi girebilir, PUK numarasını sağlayabilir ve kurbanın cihazına kısıtlama olmadan erişebilir.
Sorun, Key Guerin, diyalog altında çalışan güvenlik ekranlarının yığınını etkileyen işten çıkarılan çağrılardaki bir çatışma nedeniyle bir Sim Puk kilidini açtıktan sonra yanlış bir şekilde reddedilmesinden kaynaklanıyor.
Schütz doğru PUK numarasına girdiğinde, bir "işten çıkarma" işlevi iki kez, bir kez SIM durumunu izleyen bir arka plan bileşeniyle ve bir kez PUK bileşeni tarafından çağrıldı.
Başka bir güvenlik ekranı yoksa, kullanıcı doğrudan ana ekrana erişir.
Schütz, Haziran 2022'de Google'a kusur bildirdi ve teknoloji devi resepsiyonu kabul etmesine ve CVE-2022-20465'in CVE kimliği atamasına rağmen, 7 Kasım 2022'ye kadar bir düzeltme yayınlamadılar.
Google’ın çözümü, her "görevden alınma" çağrısında kullanılan güvenlik yöntemi için yeni bir parametre eklemektir, böylece çağrılar sadece yığındaki bir sonraki değil, belirli güvenlik ekranlarını reddeder.
Sonunda, Schütz'un raporu bir kopya olmasına rağmen, Google bir istisna yaptı ve araştırmacıya bulgusu için 70.000 dolar verdi.
Android 10, 11, 12 ve 13'lerin kullanıcıları, 7 Kasım 2022, Güvenlik Güncellemesini uygulayarak bu kusuru yırtabilir.
11/14/22 - Kusur sömürü prosedüründe daha iyi netlik için güncellendi
Google, Android konum izleme davası yerleştirmek için 391 milyon dolar ödeyecek
Genellikle iOS, Android'de bulunan Microsoft Defender Network Koruması
Çin siberlere bağlı yeni Badbazaar Android kötü amaçlı yazılım
Microsoft, kötü amaçlı yazılımları itmek için Windows Zero-Day hatasını çözer
Google Play'de bulunan 1m+ yüklemeli kötü amaçlı Android uygulamaları
Kaynak: Bleeping Computer