Il ricercatore di sicurezza informatica David Schütz ha trovato accidentalmente un modo per aggirare la schermata di blocco sui suoi smartphone Google Pixel 6 e Pixel 5 completamente patchati, consentendo a chiunque abbia accesso fisico al dispositivo di sbloccarlo.
Sfruttare la vulnerabilità per aggirare la schermata di blocco sui telefoni Android è un semplice processo in cinque passaggi che non richiederebbe più di pochi minuti.
Google ha risolto il problema di sicurezza sull’ultimo aggiornamento Android rilasciato la scorsa settimana, ma è rimasto disponibile per lo sfruttamento per almeno sei mesi.
Ritrovamento accidentale
Schütz afferma di aver scoperto il difetto per caso dopo che il suo Pixel 6 ha esaurito la batteria, ha inserito il PIN errato per tre volte e ha recuperato la scheda SIM bloccata utilizzando il codice PUK (Personal Unblocking Key).
Con sua sorpresa, dopo aver sbloccato la SIM e selezionato un nuovo PIN, il dispositivo non ha chiesto la password della schermata di blocco ma ha solo richiesto una scansione delle impronte digitali.
I dispositivi Android richiedono sempre una password o una sequenza di blocco della schermata di blocco al riavvio per motivi di sicurezza, quindi passare direttamente allo sblocco dell’impronta digitale non era normale.
Il ricercatore ha continuato a sperimentare e quando ha provato a riprodurre il difetto senza riavviare il dispositivo e partendo da uno stato sbloccato, ha pensato che fosse possibile bypassare anche la richiesta dell’impronta digitale, andando direttamente alla schermata principale.
L’impatto di questa vulnerabilità di sicurezza è piuttosto ampio e interessa tutti i dispositivi che eseguono Android versioni 10, 11, 12 e 13 che non sono stati aggiornati al livello di patch di novembre 2022.
L’accesso fisico a un dispositivo è un forte prerequisito. Tuttavia, il difetto comporta ancora gravi implicazioni per le persone con coniugi violenti, coloro che sono oggetto di indagini delle forze dell’ordine, proprietari di dispositivi rubati, ecc.
L’attaccante può semplicemente utilizzare la propria scheda SIM sul dispositivo di destinazione, disabilitare l’autenticazione biometrica (provando troppe volte lo sblocco dell’impronta digitale), inserire tre volte il PIN errato, fornire il numero PUK e accedere al dispositivo della vittima senza restrizioni.
La patch di Google
Il problema è causato dall’errata chiusura del keyguard dopo lo sblocco di un PUK SIM a causa di un conflitto nelle chiamate di eliminazione che influiscono sulla pila di schermate di sicurezza che vengono eseguite sotto la finestra di dialogo.
Quando Schütz ha immesso il numero PUK corretto, una funzione “elimina” è stata chiamata due volte, una da un componente in background che monitora lo stato della SIM e una volta dal componente PUK.
Ciò ha causato non solo la chiusura della schermata di sicurezza PUK, ma anche la schermata di sicurezza successiva nello stack, che è il keyguard, seguito da qualsiasi schermata fosse stata messa in coda nello stack.
Se non è presente un’altra schermata di sicurezza, l’utente accederà direttamente alla schermata iniziale.
Schütz ha segnalato il difetto a Google nel giugno 2022 e, sebbene il gigante della tecnologia abbia riconosciuto la ricezione e assegnato un CVE ID di CVE-2022-20465 , non ha rilasciato una correzione fino al 7 novembre 2022 .
La soluzione di Google consiste nell’includere un nuovo parametro per il metodo di sicurezza utilizzato in ogni chiamata “elimina” in modo che le chiamate escludano tipi specifici di schermate di sicurezza e non solo quella successiva nello stack.
Alla fine, sebbene il rapporto di Schütz fosse un duplicato, Google ha fatto un’eccezione e ha assegnato al ricercatore $ 70.000 per la sua scoperta.
Gli utenti di Android 10, 11, 12 e 13 possono correggere questo difetto applicando l’aggiornamento di sicurezza del 7 novembre 2022.