ఆండ్రాయిడ్ ప్లాట్‌ఫారమ్ (CVE-2022-20465)లో ఒక దుర్బలత్వం గుర్తించబడింది, ఇది SIM కార్డ్‌ని మళ్లీ అమర్చడం ద్వారా మరియు PUK కోడ్‌ని నమోదు చేయడం ద్వారా స్క్రీన్ లాక్‌ని నిలిపివేయడానికి మిమ్మల్ని అనుమతిస్తుంది. లాక్‌ని డిసేబుల్ చేసే సామర్థ్యం Google Pixel పరికరాలలో ప్రదర్శించబడింది, అయితే పరిష్కారం ప్రధాన Android కోడ్‌బేస్‌ను ప్రభావితం చేస్తుంది కాబట్టి, సమస్య ఇతర తయారీదారుల నుండి ఫర్మ్‌వేర్‌ను ప్రభావితం చేసే అవకాశం ఉంది. నవంబర్ ఆండ్రాయిడ్ సెక్యూరిటీ ప్యాచ్ రోల్ అవుట్‌లో ఈ సమస్య పరిష్కరించబడింది. సమస్యపై దృష్టిని ఆకర్షించిన పరిశోధకుడికి Google నుండి $70 వేల బహుమతి లభించింది.
PUK కోడ్ (వ్యక్తిగత అన్‌బ్లాకింగ్ కీ)ని నమోదు చేసిన తర్వాత తప్పు అన్‌లాకింగ్ ప్రాసెసింగ్ కారణంగా సమస్య ఏర్పడింది, ఇది PIN కోడ్‌ను పదేపదే తప్పుగా నమోదు చేసిన తర్వాత బ్లాక్ చేయబడిన SIM కార్డ్ యొక్క ఆపరేషన్‌ను పునఃప్రారంభించడానికి ఉపయోగించబడుతుంది. స్క్రీన్ లాక్‌ని నిలిపివేయడానికి, పిన్ కోడ్ ఆధారిత రక్షణ ఉన్న మీ ఫోన్‌లో మీ SIM కార్డ్‌ని ఇన్‌సర్ట్ చేయండి. PIN కోడ్ ద్వారా రక్షించబడిన SIM కార్డ్‌ని మార్చిన తర్వాత, PIN కోడ్ అభ్యర్థన మొదట స్క్రీన్‌పై ప్రదర్శించబడుతుంది. మీరు PIN కోడ్‌ను మూడుసార్లు తప్పుగా నమోదు చేస్తే, SIM కార్డ్ బ్లాక్ చేయబడుతుంది, ఆ తర్వాత దాన్ని అన్‌లాక్ చేయడానికి PUK కోడ్‌ను నమోదు చేయడానికి మీకు అవకాశం ఇవ్వబడుతుంది. PUK కోడ్‌ను సరిగ్గా నమోదు చేయడం వలన SIM కార్డ్‌ని అన్‌లాక్ చేయడమే కాకుండా, ప్రధాన పాస్‌వర్డ్ లేదా నమూనాను ఉపయోగించి యాక్సెస్‌ను నిర్ధారించకుండా స్క్రీన్ సేవర్‌ను దాటవేసి, ప్రధాన ఇంటర్‌ఫేస్‌కు పరివర్తనకు దారితీస్తుందని తేలింది.
అదనపు ప్రామాణీకరణ స్క్రీన్‌ను ప్రదర్శించడానికి బాధ్యత వహించే కీగార్డ్‌సిమ్‌పుక్‌వ్యూకంట్రోలర్ హ్యాండ్లర్‌లో PUK కోడ్‌లను తనిఖీ చేయడంలో లాజిక్‌లో లోపం కారణంగా ఈ దుర్బలత్వం ఏర్పడింది. Android అనేక రకాల ప్రామాణీకరణ స్క్రీన్‌లను ఉపయోగిస్తుంది (PIN, PUK, పాస్‌వర్డ్, నమూనా, బయోమెట్రిక్ ప్రమాణీకరణ కోసం) మరియు ఈ స్క్రీన్‌లు బహుళ తనిఖీలు చేయవలసి వచ్చినప్పుడు, ఉదాహరణకు, PIN మరియు నమూనా అవసరమైనప్పుడు వరుసగా పిలువబడతాయి.
మీరు PIN కోడ్‌ను సరిగ్గా నమోదు చేస్తే, మీరు ప్రధాన అన్‌లాక్ కోడ్‌ను నమోదు చేయవలసి ఉంటుంది, రెండవ దశ ధృవీకరణ ప్రారంభించబడుతుంది, కానీ మీరు PUK కోడ్‌ను నమోదు చేసినప్పుడు, ఈ దశ దాటవేయబడుతుంది మరియు ప్రధాన పాస్‌వర్డ్ లేదా నమూనా కీని అడగకుండానే యాక్సెస్ మంజూరు చేయబడుతుంది. . తదుపరి అన్‌లాకింగ్ దశ విస్మరించబడింది ఎందుకంటే KeyguardSecurityContainerController#dismiss()కి కాల్ చేస్తున్నప్పుడు ఆశించిన మరియు ఆమోదించబడిన ధృవీకరణ పద్ధతుల మధ్య పోలిక ఉండదు, అనగా. ప్రాసెసర్ ధృవీకరణ పద్ధతి మారలేదని నమ్ముతుంది మరియు PUK కోడ్ ధృవీకరణ పూర్తి చేయడం అధికారం యొక్క విజయవంతమైన నిర్ధారణను సూచిస్తుంది.
దుర్బలత్వం ప్రమాదవశాత్తు కనుగొనబడింది - వినియోగదారు ఫోన్ చనిపోయింది మరియు దానిని ఛార్జింగ్ చేసి ఆన్ చేసిన తర్వాత, పిన్ కోడ్‌ను నమోదు చేసేటప్పుడు అతను చాలాసార్లు పొరపాటు చేసాడు, ఆ తర్వాత అతను దానిని PUK కోడ్‌తో అన్‌లాక్ చేసాడు మరియు సిస్టమ్ అడగలేదని ఆశ్చర్యపోయాడు. డేటాను డీక్రిప్ట్ చేయడానికి ఉపయోగించే ప్రధాన పాస్‌వర్డ్ కోసం, అది “Pixel ప్రారంభమవుతోంది...” అనే సందేశంతో స్తంభింపజేసింది. SIM కార్డ్‌ని మార్చిన తర్వాత పరికరాన్ని రీబూట్ చేయడం అనుకోకుండా మరచిపోయి, పర్యావరణానికి ప్రాప్యత పొందే వరకు, వినియోగదారు చాలా నిశితంగా ఉండి, ఏమి జరుగుతుందో గుర్తించాలని నిర్ణయించుకున్నారు మరియు PIN మరియు PUK కోడ్‌లను వివిధ మార్గాల్లో నమోదు చేయడంలో ప్రయోగాలు చేయడం ప్రారంభించారు. ఘనీభవన.
బలహీనత ప్రకటనపై Google యొక్క ప్రతిస్పందన ప్రత్యేక ఆసక్తిని కలిగి ఉంది. సమస్య గురించిన సమాచారం జూన్‌లో పంపబడింది, అయితే సెప్టెంబరు వరకు పరిశోధకుడు ఇప్పటికీ స్పష్టమైన సమాధానం పొందలేకపోయాడు. ఈ లోపాన్ని నివేదించిన మొదటి వ్యక్తి తాను కానందున ఈ ప్రవర్తన వివరించబడిందని అతను నమ్మాడు. 90 రోజుల తర్వాత విడుదల చేసిన ఫర్మ్‌వేర్ అప్‌డేట్‌ను ఇన్‌స్టాల్ చేసిన తర్వాత సమస్య సరిదిద్దబడనప్పుడు, పేర్కొన్న నాన్-డిస్క్‌లోజర్ వ్యవధి ఇప్పటికే ముగిసినప్పుడు, సెప్టెంబర్‌లో ఏదో తప్పు జరుగుతోందనే అనుమానాలు తలెత్తాయి.
సమస్య గురించి పంపిన సందేశం యొక్క స్థితిని తెలుసుకోవడానికి చేసిన అన్ని ప్రయత్నాలూ స్వయంచాలక మరియు టెంప్లేట్ ప్రత్యుత్తరాలకు దారితీసినందున, పరిశోధకుడు Google ఉద్యోగులను వ్యక్తిగతంగా సంప్రదించి పరిష్కారాన్ని సిద్ధం చేయడంతో పరిస్థితిని స్పష్టం చేయడానికి ప్రయత్నించారు మరియు Google యొక్క లండన్ కార్యాలయంలో దుర్బలత్వాన్ని కూడా ప్రదర్శించారు. . దీని తర్వాత మాత్రమే దుర్బలత్వాన్ని తొలగించే పని ముందుకు సాగింది. విశ్లేషణ సమయంలో, సమస్యను ఇంతకు ముందే ఎవరో నివేదించారని తేలింది, అయితే Google మినహాయింపు ఇవ్వాలని నిర్ణయించుకుంది మరియు సమస్యను మళ్లీ నివేదించినందుకు రివార్డ్ చెల్లించాలని నిర్ణయించుకుంది, ఎందుకంటే సమస్య గుర్తించబడిన దాని రచయిత యొక్క పట్టుదలకు ధన్యవాదాలు.
మూలం: opennet.ru