David Schütz นักวิจัยความปลอดภัย รายงานถึงช่องโหว่ที่กูเกิลเพิ่งแพตช์ไปเมื่อวันที่ 5 พฤศจิกายนที่ผ่านมา เป็นช่องโหว่เปิดทางให้คนร้ายที่ได้โทรศัพท์ Pixel ไปสามารถปลดล็อกโทรศัพท์ได้ทันทีโดยไม่ต้องรู้ PIN หรือรหัสผ่าน เพียงแต่ใส่ซิมที่ติดล็อกและต้องปลดล็อกด้วย PUK เท่านั้น

ช่องโหว่นี้อาศัยบั๊ก race condition ของการเรนเดอร์หน้าจอ ทำให้เมื่อผู้ใช้ใส่ PUK code เพื่อปลดล็อกซิมแล้วแอนดรอยด์กลับปิดหน้าจอล็อกทั้งหมดทำให้ผู้ใช้ไปอยู่ที่หน้า Home และใช้งานโทรศัพท์ได้ทันที

ปัญหาของช่องโหว่นี้คือทีมงานแอนดรอยด์นั้นตอบสนองช้าเป็นอย่างมาก โดยกระบวนการแก้ช่องโหว่ใช้เวลานานกว่าสี่เดือนหลังได้รับรายงาน Schütz ระบุว่าแม้จะได้เมลตอบรับรายงานช่องโหว่อย่างรวดเร็วแต่ทีมงานแอนดรอยด์ก็เงียบหายไป และผ่านไปหนึ่งเดือนถึงจะรายได้อีเมลอัตโนมัติกลับมาว่าช่องโหว่ถูกรายงานมาก่อนแล้วทำให้ Schütz ไม่มีสิทธิ์ได้รับเงินรางวัล

หลังจากนั้น Schütz ไปร่วมงานประชุมนักวิจัยความปลอดภัยของกูเกิลในลอนดอน และต้องพยายามสาธิตให้วิศวกรกูเกิลดูว่าช่องโหว่ และแจ้งว่าจะเปิดเผยช่องโหว่นี้ภายในกลางเดือนตุลาคม แต่ทีมงานของกูเกิลแจ้งว่าวางแผนจะปล่อยแพตช์เดือนธันวาคม แม้จะได้รับรายงานไปแล้วหลายเดือน และมีนักวิจัยรายงานก่อน Schütz แล้ว (ทีมงานแอนดรอยด์ระบุว่าไม่สามารถทำซ้ำบั๊กจากรายงานที่นักวิจัยคนแรกส่งเข้ามา)

ทีมงานแอนดรอยด์ตัดสินใจให้รางวัล Schütz เป็นเงิน 70,000 ดอลลาร์เป็นกรณีพิเศษแม้จะเป็นรายงานซ้ำ และช่องโหว่ปลดล็อกโทรศัพท์นั้นโครงการรายงานช่องโหว่ของกูเกิลตั้งรางวัลไว้สูงสุด 100,000 ดอลลาร์

Project Zero ทีมงานวิจัยความปลอดภัยของกูเกิลพยายามอย่างหนักที่จะกดดันให้ผู้ผลิตต่างๆ แก้ไขช่องโหว่ภายใน 90 วันหลังได้รับรายงาน แต่ก็ต้องยอมรับว่าไม่มีองค์กรใดทำได้สมบูรณ์ โดยช่วงปี 2019-2021 นั้นกูเกิลเองสามารถแก้ไขช่องโหว่ภายใน 90 วันได้ 95% นับว่าค่อนข้างดีกว่าองค์กรอื่นๆ แต่สำหรับช่องโหว่นี้ก็ดูจะนานเป็นพิเศษ

ที่มา – xdavidhu.me

หน้าจอโทรศัพท์ของ Schütz ที่ขึ้นหน้า restart หลังปลดล็อก PUK จนทำให้พบช่องโหว่นี้