Откриха сериозен пропуск в защитата на последната версия на Android
преди ден
fakti.bgТехнологичната общност в момента анализира мащабна и изключително специфична уязвимост в екосистемата на Android, която позволява заобикаляне на автентификацията и превръща собствения флагмански асистент на Google в неволен „цифров хакер“. Уязвимостта, която предизвика голям отзвук в изследователските среди, е насочена именно към онези дълбоки системни привилегии, които позволяват на Gemini да изпълнява задачи директно от заключено устройство. Механизмът на експлойта се развива като типичен пример за грешка в софтуерната логика. При нормална работа, ако потребител, загрижен за сигурността, отмени вграденото разрешение на Gemini за достъп до основни приложения като „Съобщения“ или WhatsApp, асистентът се държи безупречно, изисква биометрично сканиране или PIN код в момента, в който някой се опита да напише съобщение от заключения екран. Въпреки това защитната стена се руши под въздействието на прецизен пропуск в синхронизацията. Като се докосне екранното подсказване „Продължи“ точно в същата милисекунда, в която се натиска бутонът „Добави прикачен файл“, системата за удостоверяване се обърква напълно, заобикаляйки изцяло подсказването за сигурност и позволявайки на съобщението да бъде изпратено, без да бъде въведена нито една цифра от ПИН кода на потребителя. Последиците за сигурността бързо надхвърлят рамките на обикновена, изолирана уязвимост при изпращането на SMS. Демонстрациите на уязвимостта разкриват, че след като неоторизиран потребител преодолее тази първоначална пречка с мултитъч, той може да се възползва от пропуските, за да промени основните разрешения за сигурност на телефона. Чрез извикване на целеви команди – като например въвеждане на конкретни идентификатори на приложения директно в активния прозорец за чат – лице с физически достъп до устройството може напълно да възстанови достъпа на Gemini до преди това ограничени приложения за комуникация като WhatsApp. Докладите сочат, че варианти на тази уязвимост в екрана за заключване държат инженерните екипи на Google заети още от първоначалните бета цикли на Android 16. Въпреки че експлойтът беше подробно документиран и възпроизведен на напълно обновен Pixel, софтуерният дефект в крайна сметка произтича от базовия код на системата, което означава, че голям брой устройства на трети страни, работещи с подобни интеграции на асистента, остават потенциално уязвими. Google е потвърдила наличието на логическата грешка и активно ускорява пускането на безжичен пач за сигурност на платформата, който се планира да бъде разпространен незабавно към засегнатите устройства. Докато този пач не бъде официално пуснат, анализаторите по сигурността призовават потребителите да влязат в настройките на основното си приложение Gemini и напълно да деактивират функционалността на асистента на екрана за заключване, за да запазят личните си текстови данни надеждно защитени.