Economia e mercado 27 Mai
O pesquisador de cybersegurança David Schütz acidentalmente encontrou uma maneira de burlar a tela de bloqueio em seus smartphones Google Pixel 6 e Pixel 5 totalmente atualizados, permitindo que qualquer pessoa com acesso físico ao dispositivo o desbloqueie.
Explorar a vulnerabilidade para contornar a tela de bloqueio em telefones Android é um processo simples de cinco etapas, que não levaria mais do que alguns minutos.
Na semana passada, o Google corrigiu o problema de segurança na última atualização do Android, mas uma brecha que permitia que a tela de bloqueio de alguns dispositivos permaneceu disponível para exploração por pelo menos seis meses.
O pesquisador David Schütz diz que descobriu a falha por acidente depois que seu Pixel 6 ficou sem bateria, digitou seu PIN errado três vezes e recuperou o cartão SIM bloqueado usando o código PUK (Personal Unblocking Key).
Para sua surpresa, depois de desbloquear o SIM e selecionar um novo PIN, o dispositivo não pediu a senha da tela de bloqueio, mas apenas uma verificação de impressão digital.
O pesquisador continuou testando e, quando tentou reproduzir a falha sem reiniciar o dispositivo e partir de um estado desbloqueado, descobriu que também era possível ignorar o prompt de impressão digital, indo direto para a tela inicial.
O impacto dessa vulnerabilidade de segurança é bastante amplo, afetando todos os dispositivos que executam as versões 10, 11, 12 e 13 do Android que não foram atualizados para novo de patch de novembro de 2022.
O invasor pode simplesmente usar seu próprio cartão SIM no dispositivo de destino, desativar a autenticação biométrica (se bloqueada), digitar o PIN errado três vezes, fornecer o número PUK e acessar o dispositivo da vítima sem restrições.
O problema é causado pelo desligamento incorreto do keyguard após um desbloqueio do SIM PUK devido a um conflito nas chamadas de dispensa que afetam os parâmetros das telas de segurança executadas na caixa de diálogo.
Schütz relatou a falha ao Google em junho de 2022 e, embora a gigante da tecnologia tenha reconhecido a recepção e atribuído um ID CVE de CVE-2022-20465, eles não lançaram uma correção até 7 de novembro de 2022.
A solução do Google é incluir um novo parâmetro para o método de segurança usado em cada chamada “dismiss” para que as chamadas descartem tipos específicos de telas de segurança e não apenas a próxima na pilha.
No final, embora o relatório de Schütz fosse uma duplicata, o Google abriu uma exceção e concedeu ao pesquisador US$ 70.000 por sua descoberta.
Tendo em vista os crescentes aumentos no roubo de celulares relatados no último ano, que resultaram na invasão de aplicativos bancários e o acesso a outras informações confidenciais, essa falha certamente facilitou o trabalho de quem tem intenções maliciosas.
Comentários