Googlen Pixel-puhelimien vakava haavoittuvuus mahdollisti lukituksen ohittamisen – korjauspäivitys jo saatavilla

Google Pixel 7 Pro

Googlen Pixel -puhelimissa havaittiin vakava haavoittuvuus, mikä antoi hyökkääjälle pääsyn puhelimeen ohi pääsykoodin. Haavoittuvuus on kuitenkin korjattu 5. marraskuuta jakeluun tulleessa päivityksessä. Haavoittuvuuden löysi Bugs.xdavidhu.me-sivustoa ylläpitävä David Schütz.

Uutisen loppuun linkatulta videolta käy ilmi, että Pixel-puhelin on lukittu ja laitteen sormenjäljenlukija on poistettu käytöstä useamman virheellisen yrityksen jälkeen. Tämän jälkeen videolla poistetaan puhelimen omistajan SIM-kortti ja tilalle vaihdetaan mahdollisen hyökkääjän fyysinen SIM-kortti. SIM-kortin vaihtamisen jälkeen SIM-kortin PIN-koodi syötetään puhelimeen kolme kertaa väärin, jolloin puhelin kysyy PUK-koodia.

Hyökkääjä syöttää asettamansa SIM-kortin PUK-koodin puhelimelle, jonka jälkeen SIM-kortille annetaan uusi PIN-koodi. Tämän jälkeen SIM-kortti on taas käytettävissä ja näkymä aukeaa Pixel-puhelimen kotinäytölle. Missään vaiheessa SIM-kortin PIN-koodin vaihdon jälkeen puhelin ei siis kysy käyttäjältä enään pääsykoodia.

Ongelman löytänyt Schütz on ilmoittanut löydöksestään Googlelle jo kauan sitten Androidin haavoittuvuuspalkkio-ohjelman kautta. Google kuitenkin puuttui ongelmaan vasta syyskuussa, kun yhtiötä oltiin ilmeisesti kehotettu erikseen korjaamaan ongelman. Palkinnoksi Schütz sai Googlelta 70 000 dollaria.

Marraskuun tietoturvakorjauksessa ongelma on listattu ”järjestelmäongelmaksi”, jonka vakavuusaste on ollut ”korkea”. Haavoittuvuus on ilmeisesti koskenut Android 10-, 11-, 12-, 12L- ja 13 -käyttöjärjestelmäversioita. Päivitys on nyt jaossa Googlen Pixel 4a ja sitä uudemmille malleille.

Lähde: Bugs.xdavidhu.me