{"id":105525,"date":"2022-11-11T21:36:51","date_gmt":"2022-11-11T19:36:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana"},"modified":"2022-11-11T21:36:51","modified_gmt":"2022-11-11T19:36:51","slug":"uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana","title":{"rendered":"Vulnerabilit\u00e0 su Android che consente di bypassare il blocco dello schermo","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00c8 stata identificata una vulnerabilit\u00e0 nella piattaforma Android (CVE-2022-20465) che consente di disattivare il blocco dello schermo attraverso la sostituzione della SIM e l'inserimento del codice PUK. La possibilit\u00e0 di disattivare il blocco \u00e8 stata dimostrata su dispositivi Google Pixel, ma poich\u00e9 la correzione riguarda il codice sorgente principale di Android, \u00e8 probabile che il problema riguardi anche i firmware di altri produttori. Il problema \u00e8 stato risolto nel pacchetto di aggiornamenti di novembre per la sicurezza di Android. Il ricercatore che ha segnalato il problema ha ricevuto un premio di 70.000 dollari da Google. <\/p>\n

Il problema \u00e8 causato da un'errata gestione dello sblocco dopo l'inserimento del codice PUK (Personal Unblocking Key), utilizzato per riattivare la SIM bloccata dopo ripetuti tentativi errati di inserimento del codice PIN. Per disattivare il blocco dello schermo \u00e8 sufficiente inserire la propria SIM nel telefono, protetta da un codice PIN. Dopo aver cambiato la SIM protetta da PIN, viene inizialmente visualizzato un prompt per il codice PIN. Se il codice PIN viene digitato in modo errato per tre volte, la SIM verr\u00e0 bloccata, dopo di che verr\u00e0 fornita la possibilit\u00e0 di inserire il codice PUK per sbloccarla. \u00c8 emerso che l'inserimento corretto del codice PUK non solo sblocca la SIM, ma porta anche al passaggio all'interfaccia principale, bypassando il blocco dello schermo, senza confermare l'accesso tramite la password principale o il modello grafico.

\r\n \"Guarda\r\n
<\/div>\r\n <\/div><\/center> <\/p>\n

La vulnerabilit\u00e0 \u00e8 causata da un errore nella logica di verifica dei codici PUK nel gestore KeyguardSimPukViewController, responsabile della visualizzazione dello schermo di autenticazione aggiuntivo. In Android vengono utilizzati diversi tipi di schermi di autenticazione (per PIN, PUK, password, modello grafico, autenticazione biometrica) e questi schermi vengono chiamati in sequenza quando \u00e8 necessario eseguire pi\u00f9 verifiche, ad esempio, quando \u00e8 necessario inserire sia il PIN che il modello grafico. <\/p>\n

Con l'inserimento corretto del codice PIN scatta la seconda fase di verifica, che richiede l'inserimento del codice principale di sblocco. Tuttavia, nel caso di immissione del codice PUK, questa fase viene saltata e l'accesso viene fornito senza richiedere la password principale o il key grafico. La fase successiva di sblocco viene ignorata poich\u00e9, durante la chiamata a KeyguardSecurityContainerController#dismiss(), non viene confrontato il metodo di verifica atteso con quello superato; in altre parole, il gestore considera che non ci sia stata una modifica del metodo di verifica e che il completamento della verifica del codice PUK indichi una conferma riuscita delle credenziali. <\/p>\n

La vulnerabilit\u00e0 \u00e8 stata scoperta per caso: l'utente ha esaurito la batteria del telefono e, dopo averlo ricaricato e acceso, ha avuto diversi errori durante l'inserimento del codice PIN. Dopo aver sbloccato il telefono con il codice PUK, \u00e8 rimasto sorpreso che il sistema non richiedesse la password principale utilizzata per decrittografare i dati, rimanendo poi bloccato con il messaggio \u00abPixel sta partendo\u2026\u00bb. L'utente, curioso, ha deciso di capire cosa stesse succedendo e ha cominciato a sperimentare in vari modi con l'inserimento dei codici PIN e PUK, finch\u00e9 non ha accidentalmente dimenticato di riavviare il dispositivo dopo aver cambiato la scheda SIM, ottenendo cos\u00ec l'accesso all'ambiente invece di rimanere bloccato. <\/p>\n

Particolare interesse suscita la reazione di Google al rapporto sulla vulnerabilit\u00e0. L'informazione sul problema \u00e8 stata inviata a giugno, ma fino a settembre il ricercatore non \u00e8 riuscito a ottenere una risposta chiara. Ha ritenuto che tale comportamento fosse dovuto al fatto di non essere il primo a segnalare l'errore. I sospetti che qualcosa non andasse sono sorti a settembre, quando il problema \u00e8 rimasto irrisolto dopo l'installazione di un aggiornamento del firmware, rilasciato 90 giorni dopo, quando il periodo di non divulgazione era gi\u00e0 scaduto. <\/p>\n

Poich\u00e9 tutti i tentativi di scoprire lo stato del messaggio inviato riguardo al problema conducevano solo a risposte automatizzate e standardizzate, il ricercatore ha tentato di contattare personalmente i dipendenti di Google per chiarire la situazione relativa alla preparazione della correzione e ha persino dimostrato la vulnerabilit\u00e0 presso l'ufficio di Google a Londra. Solo dopo questo la lavoro per risolvere la vulnerabilit\u00e0 ha iniziato a progredire. Durante l'analisi \u00e8 emerso che qualcun altro aveva gi\u00e0 segnalato il problema in precedenza, ma Google ha deciso di fare un'eccezione e di offrire una ricompensa per la segnalazione reiterata del problema, poich\u00e9 solo grazie alla determinazione del suo autore il problema \u00e8 stato portato all'attenzione.
\n
Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0435 Android \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2022-20465), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0443 \u044d\u043a\u0440\u0430\u043d\u0430 \u043f\u0443\u0442\u0451\u043c \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 SIM-\u043a\u0430\u0440\u0442\u044b \u0438 \u0432\u0432\u043e\u0434\u0430 PUK-\u043a\u043e\u0434\u0430. \u0412\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0438 \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430\u0445 Google Pixel, \u043d\u043e \u0442\u0430\u043a \u043a\u0430\u043a \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u0435\u0442 \u043e\u0441\u043d\u043e\u0432\u043d\u0443\u044e \u043a\u043e\u0434\u043e\u0432\u0443\u044e \u0431\u0430\u0437\u0443 Android, \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0447\u0442\u043e \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f \u0438 \u043f\u0440\u043e\u0448\u0438\u0432\u043e\u043a \u043e\u0442 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u0435\u0439. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u043d\u043e\u044f\u0431\u0440\u044c\u0441\u043a\u043e\u043c \u043d\u0430\u0431\u043e\u0440\u0435 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0439 \u043f\u0440\u043e\u0431\u043b\u0435\u043c \u0441 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c\u044e \u0434\u043b\u044f Android. \u041e\u0431\u0440\u0430\u0442\u0438\u0432\u0448\u0438\u0439 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-105525","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vulnerabilit\u00e0 in Android che consente di aggirare il blocco dello schermo | ProHoster","description":"\u00c8 stata rilevata una vulnerabilit\u00e0 nella piattaforma Android (CVE-2022-20465) che consente di disattivare il blocco dello schermo mediante la sostituzione della SIM e l'inserimento del codice PUK.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 Android, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043e\u0431\u043e\u0439\u0442\u0438 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0443 \u044d\u043a\u0440\u0430\u043d\u0430 | ProHoster","og:description":"\u0412 \u043f\u043b\u0430\u0442\u0444\u043e\u0440\u043c\u0435 Android \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2022-20465), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0443 \u044d\u043a\u0440\u0430\u043d\u0430 \u043f\u0443\u0442\u0451\u043c \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 SIM-\u043a\u0430\u0440\u0442\u044b \u0438 \u0432\u0432\u043e\u0434\u0430 PUK-\u043a\u043e\u0434\u0430.","og:url":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2022-11-11T19:36:51+00:00","article:modified_time":"2022-11-11T19:36:51+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/105525","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=105525"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/105525\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=105525"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=105525"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=105525"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}