Ujawniona nowa podatność umożliwiająca ominięcie ekranu blokady w systemie Android

Badacz bezpieczeństwa Jose Rodriguez, znany w sieci jako @VBarraquito, zidentyfikował znaczną lukę umożliwiającą ominięcie ekranu blokady w urządzeniach z systemami Android 13 i 14.

Ta podatność może narazić na szwank poufne dane przechowywane w kontach Google użytkowników. Znaleziony przez Rodrigueza błąd pozwala atakującym z fizycznym dostępem do urządzenia ominąć ekran blokady i uzyskać dostęp do prywatnych danych, w tym zdjęć, historii przeglądania i kontaktów.

Świadomość i brak działań ze strony Google’a

Co ciekawe, Rodriguez początkowo poszukiwał sposobu na otwieranie bezpośrednio z ekranu blokady linków do Google Maps. Jego eksploracje doprowadziły do odkrycia tej podatności.

Jeszcze bardziej niepokojące jest stwierdzenie Rodrigueza, że Google jest świadome tego problemu od co najmniej sześciu miesięcy, nie podjęło jednak żadnych działań. Jak podaje badacz, Google potwierdziło istnienie tej luki w maju, ale do końca listopada nie zaplanowano żadnej aktualizacji zabezpieczeń w celu jej naprawy.

Scenariusze wykorzystania i zagrożenia

Podatność stawia przed użytkownikami dwie główne sytuacje, zależne od konfiguracji Google Maps. W pierwszym przypadku, gdy tryb jazdy nie jest włączony, atakujący mogą uzyskać dostęp do ostatnich i ulubionych lokalizacji oraz kontaktów.

Drugi, bardziej skomplikowany scenariusz obejmuje wykorzystanie innej luki w celu uzyskania dostępu i udostępnienia zdjęć, obszernego manipulowania kontem Google oraz potencjalnego uzyskania pełnego dostępu do konta. Rodriguez zaleca użytkownikom Androida przetestowanie tej metody ominięcia ekranu blokady na swoich urządzeniach i zgłaszanie swoich wyników.

Poprzednie incydenty a reakcja Google’a

To nie jest pierwszy przypadek ominięcia ekranu blokady w systemie Android. W zeszłym roku David Schütz odkrył podobny problem w urządzeniach Google Pixel.

Atakujący mógł wymienić kartę SIM z zablokowanego urządzenia Google Pixel na taką, gdzie znano kod PUK. Pozwalało to na ominięcie ekranu blokady – istotnej luki w zabezpieczeniach, do wykorzystania której wymagano minimalnych umiejętności technicznych.

Czas reakcji Google’a na tego typu podatności był zauważalnie długi, z poprzednim incydentem zgłoszonym w lipcu, ale naprawionym dopiero w listopadzie za pomocą łatki bezpieczeństwa.

Ten wzorzec budzi obawy co do zaangażowania tego giganta technologicznego w szybkie reagowanie na podatności, które narażają użytkowników na ryzyko.