Una vulnerabilidad en Android 16 permite que la aplicación Gemini envíe mensajes SMS sin requerir verificación mediante PIN desde la pantalla de bloqueo, poniendo en riesgo la seguridad del dispositivo y la privacidad del usuario.
Por qué importa: Esta falla permite eludir la autenticación en el bloqueo de pantalla, lo que puede facilitar acciones no autorizadas como el envío de mensajes y la reactivación de permisos en apps restringidas.
Lo esencial
La vulnerabilidad afecta a Android 16 y permite un bypass del bloqueo de pantalla.
Gemini puede enviar SMS sin pedir PIN tras una combinación específica de botones.
El fallo también permite reactivar permisos de apps como WhatsApp deshabilitados en Gemini.
Detalles del bypass en pantalla de bloqueo
El problema ocurre cuando el usuario ha restringido el acceso de Gemini a ciertas aplicaciones, como Mensajes. Normalmente, al intentar enviar un SMS desde la pantalla bloqueada, se solicita el PIN. Sin embargo, al pulsar simultáneamente el botón "Agregar adjunto" y el botón "Continuar", el sistema omite la solicitud de PIN, permitiendo que Gemini envíe mensajes sin autenticación.
Impacto en permisos y aplicaciones
Además del envío de SMS sin verificación, la vulnerabilidad permite que Gemini reactive permisos previamente deshabilitados para aplicaciones como WhatsApp. Esto amplía el riesgo, ya que un atacante con acceso físico al dispositivo podría manipular configuraciones y acceder a servicios restringidos.
Imagen de referencia: GSMArena.
Alcance y respuesta de Google
La falla fue reportada desde mayo y afecta a más dispositivos que solo los Pixel, aunque no se ha confirmado qué otras versiones o personalizaciones de Android están vulnerables. Google está al tanto del problema y trabaja en una solución que será desplegada próximamente para mitigar el riesgo.
Preguntas frecuentes sobre la vulnerabilidad en Gemini
¿Qué versiones de Android están afectadas?
Principalmente Android 16, aunque el alcance exacto en otras versiones o capas de personalización no está confirmado.
Imagen de referencia: GSMArena.
¿Qué acciones puede realizar un atacante con esta vulnerabilidad?
Puede enviar SMS sin pedir PIN y reactivar permisos de aplicaciones restringidas, lo que compromete la seguridad y privacidad del usuario.
