Según los informes, una vulnerabilidad que afecta a «aparentemente todos» los teléfonos Google Pixel podría haber permitido a los participantes no deseados acceder a un dispositivo Pixel bloqueado.
Según una entrada de blog (se abre en una pestaña nueva) por el investigador de seguridad cibernética David Schütz, cuyo informe de error convenció a Google para que tomara medidas, el error solo se corrigió para los teléfonos Android en cuestión después de una actualización de seguridad del 5 de noviembre de 2022, aproximadamente seis meses después de presentar su informe de error.
La vulnerabilidad, que se rastrea como CVE-2022-20465 (se abre en una pestaña nueva)permitió a un atacante con acceso físico eludir las protecciones de la pantalla de bloqueo, como la huella digital y el PIN, y obtener acceso completo al dispositivo del usuario.
¿Cómo funcionó el exploit?
Schütz, quien afirmó que se ignoró el informe de error anterior de otro investigador que señalaba el problema, dijo que el exploit era simple y fácilmente replicable.
Implicaba bloquear una tarjeta SIM ingresando el pin incorrecto tres veces, reinsertando la bandeja SIM, restableciendo el PIN ingresando el código PUK de la tarjeta SIM (que debería venir con el paquete original) y luego eligiendo un nuevo PIN.
Dado que el atacante solo podía traer su propia tarjeta SIM bloqueada con PIN, no se requería nada más que acceso físico para ejecutar el exploit, según Schütz.
Los posibles atacantes podrían simplemente intercambiar dicha SIM en el dispositivo de la víctima y realizar el exploit con una tarjeta SIM que tuviera un bloqueo de PIN y para el cual el atacante supiera el código PUK correcto.
Para crédito de Google, a pesar de la gravedad del exploit, Schütz afirma que después de presentar un informe que detalla la vulnerabilidad, Google atendió el exploit en 37 minutos.
Aunque Schultz no proporcionó ninguna evidencia, postuló que otros proveedores de Android podrían haberse visto afectados. Esto es ciertamente posible, ya que Android es un sistema operativo de código abierto.
Esta no es la primera vez que un investigador de seguridad revela serias fallas de seguridad dentro de los teléfonos Android.
En abril de 2022, Check Point Research (se abre en una pestaña nueva) (CPR) descubrió una falla que, si no se reparaba, podría haber hecho que una gran cantidad de teléfonos Android fueran vulnerables a la ejecución remota de código, debido a las vulnerabilidades que se encuentran dentro de los decodificadores de audio de los chips Qualcomm y MediaTek.