Apple 和 Google 各自擁有獎賞制度，向發現嚴重系統漏洞的研究員給予獎金，鼓勵他們進行保安研究，以提升系統的保安程度。早前來自匈牙利的保安研究員 David Schütz 就發現了 Android 的一項漏洞，更因此獲得了 Google 的 7 萬美元（約 54.8 萬港元）獎金。
這個編號 CVE-2022-20465 的高嚴重性漏洞，源於程式代碼存在邏輯錯誤，毋須額外的執行權限就可引發本機權限提升，換句說話來說就是可以繞過了鎖機畫面進入系統。只要裝置落入攻擊者的手中，藉著這個嚴重漏洞就能避開鎖機畫面的數字或文字密碼、圖形、指紋或面容識別解鎖。
今次 Schütz 發現系統漏洞純屬意外，在他旅行 24 小時後並嘗試用 Pixel 6 發送一系列短訊時，手機突然沒電關機。在連接充電器和重新開機時，Pixel 6 要求他輸入 SIM 卡密碼，可惜他一下子忘記了，結果 3 次輸入錯誤後 SIM 卡被鎖上。要將 SIM 卡鎖解除的方法就是輸入 PUK 碼，他按照 SIM 卡包裝提供的輸入後，系統並沒有顯示應有的系統密碼輸入畫面，而是要求以指紋解鎖。他之後作了多次反覆測試，結果發現在某些特定情況下，甚至不會要求用戶提供指紋。
這漏洞在 Pixel 5 和 Pixel 6 系列都存在，Schütz 就是憑藉這個發現獲得 7 萬美元的獎金，而 Google 的獎金甚至可以高達 10 萬，他獲得較少獎金是因為有其他用戶報告過同樣漏洞，不過他是首個能夠示範整個流程的人，而漏洞已經通過 11 月保安更新獲得修正。
資料及圖片來源：techspot
unwire.hk Mewe 專頁： https://mewe.com/p/unwirehk
分享到 :
最新影片
