Android-oppdateringen fra november 2022 inkluderer en utbedring av en feil som kan tillate en angriper å omgå Google Pixel-låseskjermen.
Forskeren bak oppdagelsen, David Schütz, rapporterte Google Pixel-sikkerhetsfeil tilbake i juni etter at en rekke feil førte til at han fant sårbarheten. Han hadde glemt PIN-koden sin etter at enheten hans gikk tom for batteri og døde. Etter omstart skrev Schütz inn feil PIN-kode tre ganger, og utløste SIM-kortet til å låse seg selv.
Heldigvis, forklarte han i et blogginnlegg denne uken, hadde han den originale SIM-emballasjen med fabrikkkoden for personlig opplåsing (PUK) for å åpne SIM-kortet. Derfra kunne han få tilgang til enheten uten å taste inn riktig PIN-kode.
«Etter at jeg roet meg litt ned, skjønte jeg at dette faktisk er en d*mn full-låst skjermbypass, på den fullt lappede Pixel 6. Jeg fikk min gamle Pixel 5 og prøvde å reprodusere feilen der også. Det fungerte også», skrev han.
De Google Pixel-låseskjermen omgår sårbarhet spores under CVE-2022-20465. Her er bypass-trinnene, ifølge Schütz:
- Tast inn feil PIN-kode tre ganger.
- Bytt ut enhetens SIM-kort for et angriperkontrollert SIM-kort med kjent PIN-kode.
- Skriv inn det nye SIM-kortets åttesifrede PUK-kode.
- Skriv inn den nye PIN-koden for enheten.
- Presto! Enheten låses opp.
For sin innsats sa Schütz at han ble tildelt en 70,000 XNUMX dollar-bug-premie, sammen med skryterettigheter.
