වේදිකාව තුළ Android සිම් කාඩ්පත මාරු කර PUK කේතය ඇතුළත් කිරීමෙන් තිර අගුල අක්රිය කිරීමට ඉඩ සලසන අවදානමක් (CVE-2022-20465) හඳුනාගෙන ඇත. අගුල අක්රිය කිරීමේ හැකියාව Google Pixel උපාංගවල පෙන්නුම් කර ඇත, නමුත් නිවැරදි කිරීම මූලික කේත පදනමට බලපාන බැවින්, Android, මෙම ගැටළුව අනෙකුත් නිෂ්පාදකයින්ගේ ස්ථිරාංග වලටද බලපානු ඇත. මෙම ගැටළුව නොවැම්බර් ආරක්ෂක පැච් එකේ නිරාකරණය කරන ලදී. Androidගැටලුව හෙළිදරව් කළ පර්යේෂකයාට ගූගල් වෙතින් ඩොලර් 70 ක ත්යාගයක් ලැබුණි.
PUK කේතය (පුද්ගලික අගුළු හැරීමේ යතුර) ඇතුළත් කිරීමෙන් පසු වැරදි අගුළු හැරීමේ ක්රියාවලිය නිසා ගැටලුව ඇති වී තිබේ, එය නැවත නැවතත් PIN කේතය වැරදි ලෙස ඇතුළත් කිරීමෙන් පසු අවහිර වූ SIM කාඩ්පතක් ක්රියාත්මක කිරීම නැවත ආරම්භ කිරීමට භාවිතා කරයි. තිර අගුල අබල කිරීමට, PIN කේත ආරක්ෂාවක් ඇති ඔබගේ දුරකථනයේ ඔබගේ SIM කාඩ්පත ස්ථාපනය කරන්න. PIN කේතයකින් ආරක්ෂිත SIM කාඩ්පතක් වෙනස් කිරීමෙන් පසු, PIN කේත ඉල්ලීමක් පළමුව තිරයේ දිස්වේ. ඔබ PIN කේතය තුන් වරක් වැරදි ලෙස ඇතුළත් කළහොත්, SIM කාඩ්පත අවහිර කරනු ලැබේ, ඉන්පසු ඔබට එය අගුළු ඇරීමට PUK කේතය ඇතුළත් කිරීමට අවස්ථාව ලබා දෙනු ඇත. PUK කේතය නිවැරදිව ඇතුළත් කිරීම සිම් කාඩ්පත අගුළු ඇරීමට පමණක් නොව, ප්රධාන මුරපදය හෝ රටාව භාවිතයෙන් ප්රවේශය තහවුරු නොකර තිර සුරැකුම මඟ හැර ප්රධාන අතුරු මුහුණතට සංක්රමණය වීමට තුඩු දෙන බව පෙනී ගියේය.
අතිරේක සත්යාපන තිරයක් පෙන්වීම සඳහා වගකිව යුතු KeyguardSimPukViewController හසුරුවන්නා තුළ PUK කේත සත්යාපන තර්කනයේ දෝෂයක් නිසා මෙම අවදානම ඇති වේ. Android සත්යාපන තිර වර්ග කිහිපයක් භාවිතා කරනු ලැබේ (PIN, PUK, මුරපදය, රටාව, ජෛවමිතික සත්යාපනය සඳහා) සහ PIN සහ රටාවක් අවශ්ය වන විට වැනි බහුවිධ පරීක්ෂාවන් සිදු කිරීමට අවශ්ය වූ විට මෙම තිර අනුපිළිවෙලින් කැඳවනු ලැබේ.
ඔබ PIN කේතය නිවැරදිව ඇතුළත් කළහොත්, සත්යාපනයේ දෙවන අදියර ක්රියාත්මක වන අතර, ඔබට ප්රධාන අගුළු ඇරීමේ කේතය ඇතුළත් කිරීමට අවශ්ය වේ, නමුත් ඔබ PUK කේතය ඇතුළු කරන විට, මෙම අදියර මඟ හැර ප්රධාන මුරපදය හෝ රටා යතුර ඉල්ලා නොසිට ප්රවේශය ලබා දේ. . KeyguardSecurityContainerController#dismiss() ඇමතීමේ දී අපේක්ෂිත සහ සම්මත වූ සත්යාපන ක්රම අතර සැසඳීමක් නොමැති නිසා මීළඟ අගුළු හැරීමේ අදියර ඉවත දමනු ලැබේ, i.e. ප්රොසෙසරය විශ්වාස කරන්නේ සත්යාපන ක්රමය වෙනස් වී නැති බවත් PUK කේත සත්යාපනය සම්පූර්ණ කිරීමෙන් අධිකාරියේ සාර්ථක තහවුරු කිරීමක් පෙන්නුම් කරන බවත්ය.
අවදානම අහම්බෙන් සොයා ගන්නා ලදී - පරිශීලකයාගේ දුරකථනය මිය ගොස් ඇති අතර එය ආරෝපණය කර එය සක්රිය කිරීමෙන් පසු, ඔහු PIN කේතය ඇතුළත් කිරීමේදී කිහිප වතාවක්ම වැරැද්දක් කළේය, ඉන්පසු ඔහු එය PUK කේතයෙන් අගුළු හැර පද්ධතිය අසන්නේ නැති බව පුදුමයට පත් විය. දත්ත විකේතනය කිරීමට භාවිතා කරන ප්රධාන මුරපදය සඳහා, පසුව එය "Pixel ආරම්භ වේ..." යන පණිවිඩය සමඟ කැටි විය. සිම් කාඩ් පත වෙනස් කිරීමෙන් පසු උපාංගය නැවත පණ ගැන්වීමට අහම්බෙන් අමතක වී පරිසරයට ප්රවේශය ලබා ගන්නා තෙක් පරිශීලකයා සූක්ෂ්ම ලෙස හැසිරී, සිදුවන්නේ කුමක්දැයි සොයා ගැනීමට තීරණය කර විවිධ ආකාරවලින් PIN සහ PUK කේත ඇතුළත් කිරීම අත්හදා බැලීමට පටන් ගත්තේය. කැටි කිරීම.
විශේෂයෙන් උනන්දු වන්නේ අවදානම් නිවේදනයට Google හි ප්රතිචාරයයි. ගැටලුව පිළිබඳ තොරතුරු ජුනි මාසයේදී යවන ලද නමුත් සැප්තැම්බර් වන තෙක් පර්යේෂකයාට පැහැදිලි පිළිතුරක් ලබා ගැනීමට නොහැකි විය. මෙම දෝෂය වාර්තා කළ පළමු පුද්ගලයා ඔහු නොවන බව මෙම හැසිරීම පැහැදිලි කර ඇති බව ඔහු විශ්වාස කළේය. ප්රකාශිත හෙළිදරව් නොකිරීමේ කාලය දැනටමත් කල් ඉකුත් වී ඇති විට, දින 90 කට පසුව නිකුත් කරන ලද ස්ථිරාංග යාවත්කාලීනයක් ස්ථාපනය කිරීමෙන් පසු ගැටළුව නිවැරදි නොවූ විට සැප්තැම්බර් මාසයේදී යමක් වැරදී යන බවට සැක මතු විය.
ගැටලුව පිළිබඳ යවන ලද පණිවිඩයේ තත්ත්වය සොයා ගැනීමට සියලු උත්සාහයන් ස්වයංක්රීය සහ අච්චු පිළිතුරු වලට පමණක් හේතු වූ බැවින්, පර්යේෂකයා විසින් Google සේවකයින් පුද්ගලිකව සම්බන්ධ කර ගැනීමට උත්සාහ කළේ නිවැරදි කිරීමක් සූදානම් කිරීමත් සමඟ තත්වය පැහැදිලි කර ගැනීමට සහ Google හි ලන්ඩන් කාර්යාලයේ අවදානම පවා පෙන්නුම් කරමිනි. . මෙයින් පසුවයි අවදානම තුරන් කිරීමේ කටයුතු ඉදිරියට ගියේ. විශ්ලේෂණය අතරතුර, යමෙකු දැනටමත් ගැටලුව කලින් වාර්තා කර ඇති බව පෙනී ගියේය, නමුත් Google විසින් ව්යතිරේකයක් කිරීමට සහ ගැටලුව නැවත වාර්තා කිරීම සඳහා ත්යාගයක් ගෙවීමට තීරණය කළේය, මන්දයත් ගැටලුව අවධානයට ලක් වූයේ එහි කතුවරයාගේ නොපසුබට උත්සාහයට ස්තූතිවන්ත වන බැවිනි.
මූලාශ්රය: opennet.ru
