Durch zufällig entdeckten Sperrbildschirm-Bypass bei Google-Pixel-Smartphones 95 Millionen Won ($70k) Bug-Bounty erhalten

 (bugs.xdavidhu.me)
4 Punkte von xguru 2022-11-11 | 3 Kommentare | Auf WhatsApp teilen
  • Wenn die SIM-PIN dreimal falsch eingegeben wird, muss der PUK (Personal Unblocking Key) eingegeben werden
    → Der PUK steht normalerweise auf der Plastikkarte, in der die USIM steckt
  • Es wurde entdeckt, dass sich bei Google Pixel 5/6 nach dreimal erzwungen falscher Eingabe der SIM-PIN und anschließender Eingabe des PUK der zuvor auf dem Smartphone eingerichtete Sperrbildschirm per Passwort/Fingerabdruck umgehen lässt
    → Das heißt: Wenn jemand das Smartphone in die Hände bekommt, die SIM austauscht, die PIN absichtlich falsch eingibt und dann mit dem PUK entsperrt, kann der Sperrbildschirm umgangen werden
  • Google wurde informiert, reagierte jedoch nur langsam, und erst nach mehreren Meldungen wurde ein Patch veröffentlicht
    → Für einen Lockscreen-Bypass sind grundsätzlich bis zu $100k (140 Millionen Won) möglich, aber da der Bug bereits zuvor gemeldet worden war, hätte die Belohnung eigentlich $0 betragen
    → Da diese Person jedoch mehrfach Berichte eingereicht hatte und dadurch die schnelle Behebung vorangetrieben wurde, wurde dies als Ausnahme anerkannt und eine Auszahlung von $70k beschlossen

Verwandte Beiträge

3 Kommentare

 
draupnir 2022-11-12

Google ist wirklich … ich glaube, das ist ein Unternehmen, bei dem man vieles mit Vorsicht betrachten sollte.
 
roxie 2022-11-11

„Ich habe es mehrfach gemeldet, damit es schnell behoben wird“ ...
 
ffdd270 2022-11-11

Einerseits war ich überrascht, dass er das nach mehreren Meldungen sogar direkt einem Google-Ingenieur persönlich mitgeteilt hat. Andererseits war ich erstaunt, dass so ein schwerwiegender Bug monatelang liegen blieb und dann, obwohl die Behebung eigentlich für Dezember geplant war, schon im November gefixt wurde. Und dass das nicht irgendein Startup, sondern Google war, fand ich ebenfalls erstaunlich (... )