Google は、誰でもパスコードを知らなくても Google Pixel のロックを解除できる「偶発的な」セキュリティ バグを非公開で報告したセキュリティ研究者に 70,000 ドルを支払いました。
として追跡されるロック画面バイパスのバグ CVE-2022-20465は、誰かがデバイスを手に持っていれば、ロック画面のパスコードを入力しなくてもデバイスのデータにアクセスできるため、特権のローカル エスカレーション バグとして説明されています。
ハンガリー在住の研究者 デビッド・シュッツ バグの悪用は非常に簡単だったが、Google が修正するのに約 5 か月かかったという。
Schütz 氏は、Google Pixel スマートフォンに物理的にアクセスできる人なら誰でも、自分の SIM カードを交換し、事前に設定された回復コードを入力して、Android のオペレーティング システムのロック画面保護をバイパスできることを発見しました。 の ブログ投稿 バグが修正されたので公開されたこのバグについて、Schütz はどのようにして偶然にバグを発見したかを説明し、それを Google の Android チームに報告しました。
Android のロック画面では、数字のパスコード、パスワード、またはパターンを設定して、携帯電話のデータを保護したり、最近では指紋や顔のプリントを保護したりできます。 携帯電話の SIM カードには、泥棒が電話番号を取り出して物理的に盗むのを防ぐために、別の PIN コードが設定されている場合もあります。 ただし、SIM カードには追加の個人ロック解除コード (PUK) があり、ユーザーが PIN コードを 3 回以上間違って入力した場合に SIM カードをリセットできます。 PUK コードは、デバイスの所有者がかなり簡単に入手できます。多くの場合、SIM カードのパッケージに印刷されているか、携帯電話会社のカスタマー サービスから直接入手できます。
Schütz 氏は、SIM カードの PUK コードを入力するだけで、パッチが完全に適用された Pixel 6 スマートフォンと古い Pixel 5 を騙して、ロック画面を視覚的に表示することなく、スマートフォンとデータのロックを解除できることを発見しました。 彼は、他の Android デバイスも脆弱である可能性があると警告しました。
悪意のある攻撃者は自分の SIM カードとそれに対応する PUK コードを持ち込む可能性があるため、電話への物理的なアクセスのみが必要である、と彼は言いました。 「攻撃者は、被害者のデバイスの SIM を交換するだけで、PIN ロックがあり、攻撃者が正しい PUK コードを知っている SIM カードでエクスプロイトを実行できます」と Schütz 氏は述べています。
Google はセキュリティ研究者に報酬を支払うことができます 非公開のバグ報告に対して最大 100,000 ドル エクスプロイトが成功すると、デバイスのデータへのアクセスが許可されるため、誰かがロック画面をバイパスできる可能性があります。 バグの報奨金が高額なのは、Cellebrite や Grayshift などの企業の取り組みと競合するためでもあります。これらの企業は、電話クラッキング技術を構築して法執行機関に販売するためにソフトウェア エクスプロイトに依存しています。 この場合、Google は Schütz に支払いました 70,000 ドル未満のバグ報奨金 彼のバグは重複としてマークされていましたが、Google は彼の前に報告されたバグを再現または修正できませんでした。
Google は Android のバグを修正しました。 セキュリティアップデート 2022 年 11 月 5 日に Android 10 から Android 13 を実行するデバイス向けにリリースされました。Schütz がこのバグを悪用している様子は、下のビデオでご覧いただけます。