- Lỗ hổng này ảnh hưởng hưởng đến tất cả thiết bị điện thoại Pixel, cho phép đối tượng tấn công vượt qua các biện pháp bảo vệ màn hình khóa (vân tay, mã Pin…) dành quyền truy cập vào thiết bị của người dùng.

Lỗi tồn tại trong các chức năng của KeyguardHostViewController.java và các tệp liên quan. Theo Trung tâm Giám sát an toàn không gian mạng quốc gia NCSC - Thuộc Bộ Thông tin và Truyền thông, tác động của lỗ hổng bảo mật này khá rộng, ảnh hưởng đến tất cả các thiết bị chạy Android phiên bản 10,11,12 và 13 chưa cập nhật lên bản cập nhật mới tháng 11 năm 2022.

Đối tượng tấn công có thể chỉ cần sử dụng thẻ SIM của mình trên thiết bị mục tiêu, vô hiệu hóa xác thực sinh trắc học, nhập sai mã PIN lần, cung cấp số PUK và truy cập thiết bị của nạn nhân mà không bị hạn chế.

Lỗ hổng này đã được chuyên gia báo với Google vào tháng 6 năm 2022 tuy nhiên bản vá được Google công bố vào ngày 7 tháng 11 năm 2022. Theo các chuyên gia bảo mật, Google đã khắc phục sự cố này trên bản cập nhật mới nhất của Android, tuy nhiên nó vẫn có thể khai thác trong ít nhất 6 tháng.

Đối với lỗ hổng, cảnh báo về bảo mật, NCSC khuyến nghị các doanh nghiệp, tổ chức và người dùng cần thường xuyên cập nhật thông tin (như các chiến dịch tấn công của các nhóm APT, thông tin IoC kèm theo từng chiến dịch, điểm yếu lỗ hổng đang bị lợi dụng để khai thác,…), rà soát trên các hệ thống thống thông tin để phát hiện và ngăn chặn, xử lý kịp thời.

Cụ thể, với lỗ hổng bảo mật CVE-2022-20465 người dùng cần cập nhật bản bảo mật mới được công bố tháng 11 vừa qua trong thời gian sớm để tránh các rủi ro có thể xảy ra.

PV