研究人員發現,Android一項漏洞能讓攻擊者不必輸入密碼解鎖螢幕鎖,即可存取手機資料。
匈牙利研究人員David Schutz首先在Google Pixel手機發現這項漏洞。編號CVE-2022-20465的漏洞,讓攻擊者能繞過螢幕鎖定防護,不論是指紋、密碼或其他方式,而完整存取手機,如果他能直接接觸到手機的話。他6月初通報該漏洞,Google已在11月5日的Android安全更新予以修補。
這個漏洞出現在手機關機後重啟動,SIM卡要求輸入密碼,稱為PIN(Personal identification Number)碼。PIN碼一旦輸入錯誤3次以上,解鎖就會失敗。但用戶還有最後一線生機,即輸入PUK碼(Personal Identification Number Unlock Key,又稱為「個人解鎖碼」)解鎖SIM卡。PUK碼通常印在SIM卡包裝上,也可以透過電信公司的客服支援電話取得。
研究人員發現,這時如果攻擊者將手機原來的SIM卡換成自己的,並且按錯3次PIN碼,就會被要求輸入PUK碼。由於SIM卡是攻擊者的,只要輸入正確PUK碼,Google Pixel手機即允許重新設定PIN碼,然後啟動並載入主頁,過程中連Android的螢幕鎖定畫面都未顯示,意謂著攻擊者也不需輸入密碼,即可取得手機完整控制權。
Schutz在Google Pixel 6及前一代的Pixel 5手機成功實驗這次破解,但他說其他Android手機也可能受這漏洞影響。
研究人員於6月通報這項漏洞,不過Google經過反覆調查,才在10月複製並確認這項漏洞。Google並在11月5日的Android更新版中修補這項漏洞。研究人員最後獲得Google頒發7萬美元獎金。
熱門新聞
2024-12-03
2024-11-20
2024-11-29
2024-11-15