{"id":105525,"date":"2022-11-11T21:36:51","date_gmt":"2022-11-11T19:36:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana"},"modified":"2022-11-11T21:36:51","modified_gmt":"2022-11-11T19:36:51","slug":"uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana","title":{"rendered":"S\u00e5rbarhed i Android, der muligg\u00f8r omg\u00e5else af sk\u00e6rml\u00e5s","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Der Android-platform er blevet opdaget en s\u00e5rbarhed (CVE-2022-20465), der tillader, at sk\u00e6rml\u00e5sningen deaktiveres ved at skifte SIM-kort og indtaste PUK-koden. Muligheden for at deaktivere l\u00e5sen blev demonstreret p\u00e5 Google Pixel-enheder, men da rettelsen p\u00e5virker den prim\u00e6re kodebase for Android, er det sandsynligt, at problemet ogs\u00e5 vedr\u00f8rer firmware fra andre producenter. Problemet er blevet l\u00f8st i den november-sikkerhedsopdatering for Android. Forskeren, der p\u00e5pegede problemet, modtog en bel\u00f8nning p\u00e5 70.000 dollars fra Google. <\/p>\n

Problemet skyldes forkert h\u00e5ndtering af opl\u00e5sningen efter indtastning af PUK-koden (Personal Unblocking Key), som bruges til at genoprette funktionaliteten af et SIM-kort, der er blevet l\u00e5st efter gentagne fejlagtige indtastninger af PIN-koden. For at deaktivere sk\u00e6rml\u00e5sen er det tilstr\u00e6kkeligt at inds\u00e6tte sit eget SIM-kort i telefonen, hvor beskyttelsen er baseret p\u00e5 en PIN-kode. Efter skift af SIM-kort, der er beskyttet af en PIN-kode, vises der f\u00f8rst en anmodning om at indtaste PIN-koden. Hvis PIN-koden indtastes fejlagtigt tre gange, bliver SIM-kortet l\u00e5st, hvorefter der bliver mulighed for at indtaste PUK-koden for at l\u00e5se det op. Det viste sig, at korrekt indtastning af PUK-koden ikke kun l\u00e5ser SIM-kortet op, men ogs\u00e5 f\u00f8rer direkte til hovedgr\u00e6nsefladen uden at bekr\u00e6fte adgang via det prim\u00e6re kodeord eller m\u00f8nsterl\u00e5s.

\r\n \"Afspil\r\n
<\/div>\r\n <\/div><\/center> <\/p>\n

S\u00e5rbarheden er for\u00e5rsaget af en fejl i logikken for kontrol af PUK-koder i KeyguardSimPukViewController-behandleren, som er ansvarlig for visningen af et ekstra autentificeringssk\u00e6rmbillede. Android bruger flere typer autentificeringssk\u00e6rme (til PIN, PUK, kodeord, grafisk m\u00f8nster, biometric autentificering), og disse sk\u00e6rme kaldes sekventielt, n\u00e5r der kr\u00e6ves udf\u00f8relse af flere kontroller, f.eks. n\u00e5r der kr\u00e6ves b\u00e5de PIN og grafisk m\u00f8nster. <\/p>\n

Ved korrekt indtastning af PIN-koden aktiveres det andet trin i verifikationen, som kr\u00e6ver indtastning af hovedl\u00e5sekoden, men n\u00e5r PUK-koden indtastes, springes et s\u00e5dant trin over, og adgang gives uden anmodning om hovedadgangskoden eller grafisk n\u00f8gle. Udeladelse af det n\u00e6ste l\u00e5sningstrin sker, da der ikke foretages en sammenligning af de forventede og best\u00e5ede verifikationsmetoder ved opkald af KeyguardSecurityContainerController#dismiss(), dvs. handleren anser, at der ikke er sket nogen \u00e6ndring i verifikationsmetoden, og en vellykket PUK-kodeverifikation indikerer, at adgangen er blevet bekr\u00e6ftet. <\/p>\n

S\u00e5rbarheden blev opdaget ved en tilf\u00e6ldighed \u2014 brugeren fik sin telefon til at l\u00f8be t\u00f8r for str\u00f8m, og efter opladning og t\u00e6nding indtastede han flere gange forkert sin PIN-kode, hvorefter han l\u00e5ste op med PUK-koden og blev overrasket over, at systemet ikke bad om den prim\u00e6re adgangskode, der bruges til at dekryptere data. Herefter sad telefonen fast med beskeden \u00abPixel starter\u2026\u00bb. Brugeren viste sig at v\u00e6re grundig, ville finde ud af, hvad der var galt, og begyndte at eksperimentere med forskellige m\u00e5der at indtaste PIN- og PUK-koder p\u00e5, indtil han tilf\u00e6ldigt glemte at genstarte enheden efter simkortskiftet og i stedet for at sidde fast fik adgang til milj\u00f8et. <\/p>\n

Is\u00e6r interessant er Googles reaktion p\u00e5 rapporten om s\u00e5rbarheden. Informationen om problemet blev sendt i juni, men indtil september kunne forskeren ikke f\u00e5 et forst\u00e5eligt svar. Han mente, at denne adf\u00e6rd kunne forklares med, at han ikke var den f\u00f8rste, der rapporterede om denne fejl. Mistanken om, at noget ikke gik som det skulle, opstod i september, da problemet forblev uafklaret efter installationen af en firmwareopdatering, der blev udgivet 90 dage senere, da den angivne hemmelighedsperiode allerede var udl\u00f8bet. <\/p>\n

Da alle fors\u00f8g p\u00e5 at finde ud af status for den indsendte fejlrapport kun f\u00f8rte til automatiserede og skabelonagtige svar, fors\u00f8gte forskeren at kontakte Google-ansatte personligt for at afklare situationen omkring reparationen og demonstrerede endda s\u00e5rbarheden p\u00e5 Googles kontor i London. F\u00f8rst efter dette gik arbejdet med at udbedre s\u00e5rbarheden fremad igen. Under unders\u00f8gelsen viste det sig, at nogen allerede havde rapporteret om problemet tidligere, men Google besluttede at lave et undtagelse og udbetale en bel\u00f8nning for den gentagne fejlrapport, da det kun var takket v\u00e6re forfatterens vedholdenhed, at der blev gjort opm\u00e6rksom p\u00e5 problemet.
\n
Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0435 Android \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2022-20465), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0443 \u044d\u043a\u0440\u0430\u043d\u0430 \u043f\u0443\u0442\u0451\u043c \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 SIM-\u043a\u0430\u0440\u0442\u044b \u0438 \u0432\u0432\u043e\u0434\u0430 PUK-\u043a\u043e\u0434\u0430. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0438 \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 Google Pixel, \u043d\u043e \u0442\u0430\u043a \u043a\u0430\u043a \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u0435\u0442 \u043e\u0441\u043d\u043e\u0432\u043d\u0443\u044e \u043a\u043e\u0434\u043e\u0432\u0443\u044e \u0431\u0430\u0437\u0443 Android, \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0447\u0442\u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f \u0438 \u043f\u0440\u043e\u0448\u0438\u0432\u043e\u043a \u043e\u0442 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u0439. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u043d\u043e\u044f\u0431\u0440\u044c\u0441\u043a\u043e\u043c \u043d\u0430\u0431\u043e\u0440\u0435 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0439 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0441 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c\u044e \u0434\u043b\u044f Android. \u041e\u0431\u0440\u0430\u0442\u0438\u0432\u0448\u0438\u0439 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-105525","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47S\u00e5rbarhed i Android, der tillader omg\u00e5else af sk\u00e6rml\u00e5s | ProHoster","description":"En s\u00e5rbarhed (CVE-2022-20465) er blevet opdaget i Android-platformen, som g\u00f8r det muligt at deaktivere sk\u00e6rml\u00e5s ved at skifte SIM-kortet og indtaste PUK-koden.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 Android, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043e\u0431\u043e\u0439\u0442\u0438 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0443 \u044d\u043a\u0440\u0430\u043d\u0430 | ProHoster","og:description":"\u0412 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0435 Android \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2022-20465), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0443 \u044d\u043a\u0440\u0430\u043d\u0430 \u043f\u0443\u0442\u0451\u043c \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 SIM-\u043a\u0430\u0440\u0442\u044b \u0438 \u0432\u0432\u043e\u0434\u0430 PUK-\u043a\u043e\u0434\u0430.","og:url":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2022-11-11T19:36:51+00:00","article:modified_time":"2022-11-11T19:36:51+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/105525","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=105525"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/105525\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=105525"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=105525"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=105525"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}