CVE-2026-0075 ContactsProvider — PoC بحثي

نموذج أندرويد بحثي مُعدّ للبيئات المخبرية الخاضعة للرقابة، يهدف إلى تقييم السلوك القابل للملاحظة المرتبط بـ CVE-2026-0075 في ContactsProvider2.

نظرة عامة

CVE-2026-0075 هي ثغرة رفع صلاحيات محلية في نظام أندرويد تقع في ContactsProvider2. يصف الإشعار العام مسارًا محتملًا للوصول إلى قاعدة بيانات جهات الاتصال عبر حقن SQL، دون أي تفاعل من المستخدم. يُصنّف أندرويد المشكلة بمستوى مرتفع (High) ويحدد Android 14 و15 و16 و16-qpr2 كإصدارات AOSP متأثرة. الأجهزة التي تبلغ مستوى تصحيح الأمان 2026-06-05 أو أحدث تعالج مشكلات نشرة يونيو 2026.

التطبيق المرفق هو PoC مستقل بلغة Java/Android لا يصرّح عمدًا بأيٍّ من صلاحيتي READ_CONTACTS أو WRITE_CONTACTS. وهو مصمم لمساعدة الباحثين المصرح لهم على مقارنة سلوك حدود الصلاحيات ومعالجة الاستثناءات على بنى خاضعة للرقابة.

النطاق والسلامة

هذا المستودع مخصص لأغراض البحث الأمني المصرح به فقط.

• استخدم محاكيًا مؤقتًا أو جهازًا مخبريًا تملكه أو صرّح لك صراحةً باختباره.
• لا تغذِّ الهدف إلا ببيانات جهات اتصال اصطناعية.
• لا تستخدم الـ PoC ضد أجهزة الإنتاج أو أجهزة طرف ثالث أو قواعد بيانات جهات اتصال حقيقية.
• تعامل مع النتائج على أنها خاصة ببنية (build) معيّنة. فملاحظة النجاح على صورة نظام واحدة ليست دليلًا على أن كل جهاز يعمل بالإصدار نفسه من أندرويد معرّض للثغرة.

لا يدّعي المشروع وجود مسار استغلال شامل. فهو يوثّق ملاحظة خاضعة للرقابة يجب التحقق منها مقابل بنية الهدف ومستوى تصحيحها وتنفيذها الخاص بـ ContactsProvider.

هيكل المستودع

.
├── no-permission-probe/       Standalone Android application and PowerShell helpers
│   ├── build.ps1              Compiles, packages, aligns, and signs a debug APK
│   ├── run-poc.ps1            Installs the APK and starts the controlled probe
│   ├── AndroidManifest.xml    No READ_CONTACTS or WRITE_CONTACTS declaration
│   ├── res/                   Android resources
│   └── src/                   Application source
├── CONTRIBUTING.md            Contribution and research-data requirements
├── SECURITY.md                Vulnerability reporting guidance
└── .gitignore                 Local build and IDE exclusions

السياق التقني

الإصلاح العلني في AOSP، bb9f36b3ff6d42136afb61d527e1e8f67242fe32، يحمل عنوان Fix side channel attacks in CP2. يعدّل ContactsProvider2 بحيث يُزيل رسائل SQLiteException المرتبطة بـ JSON من استجابات المتصلين الذين لا يملكون صلاحية READ_CONTACTS، ويجعل تحميل المؤشر (cursor materialization) يقع ضمن مسار معالجة الاستثناءات. صُمم هذا الـ PoC لإجراء مقارنة سلوكية خاضعة للرقابة قبل الإصلاح وبعده؛ وهو لا يغني عن التحقق من صحة التصحيح.

المتطلبات الأساسية

• نظام Windows مع PowerShell 5.1 أو PowerShell 7+
• JDK مع توفّر javac وjar وkeytool في PATH
• Android SDK Platform android-35
• Android SDK Build-Tools 36.0.0
• Android Platform Tools (adb)
• محاكٍ أو جهاز اختبار مصرح به لا يحتوي إلا على جهات اتصال اصطناعية

عيّن ANDROID_HOME إلى جذر SDK قبل البناء. قد تستخدم أدواتك المحلية أيضًا ANDROID_SDK_ROOT، لكن النصوص البرمجية المرفقة تقرأ ANDROID_HOME.

$env:ANDROID_HOME = 'C:\Android\Sdk'

البناء

من المسار الجذري للمستودع:

Set-Location .\no-permission-probe
.\build.ps1

يُكتب ملف APK الموقّع للتصحيح (debug APK) في no-permission-probe\build\probe.apk. ودليل build مستثنى من التحكم بالإصدارات.

التشغيل المخبري الخاضع للرقابة

1. شغّل محاكيًا أو جهاز اختبار مصرحًا به لا يحتوي إلا على جهات اتصال اصطناعية.

2. تأكد من الجهاز ومستوى التصحيح:

   root@kitploit:~

   adb devices
   adb shell getprop ro.build.version.security_patch
   

3. قم ببناء التطبيق ثم شغّله:

   root@kitploit:~

   Set-Location .\no-permission-probe
   .\run-poc.ps1
   

4. راجع فقط واجهة التطبيق ووسم السجل المقيّد:

   root@kitploit:~

   adb logcat -s CVE20260075Probe:I
   

يختار مساعد التشغيل URI محددًا بالصيغة data/<id> من جهاز الاختبار المتصل ويطلق النشاط (activity) بمنح قراءة. لا تستخدمه في الحالات التي لا يكون فيها هذا السلوك مصرحًا به صراحةً.

إرشادات التحقق

للحصول على نتيجة قابلة للدفاع عنها، سجّل ما يلي مع كل تشغيل:

• طراز الجهاز أو صورة المحاكي، وإصدار أندرويد، وبصمة البناء (build fingerprint)، ومستوى تصحيح الأمان
• منح URI المحدود المستخدم في الاختبار بالضبط
• تأكيد عدم وجود سوى جهات اتصال اصطناعية
• ما إذا كان الاستدعاء يُنتج نتيجةً، أو استثناءً منقّحًا، أو استثناءً غير منقّح، أو رفضًا للصلاحية
• النقطة التي يحدث عندها الاستثناء: عند استدعاء المزوّد (provider) أم عند استهلاك المؤشر (cursor)

قارن بين صورة مخبرية معروفة بكونها معرّضة للثغرة وصورة تحتوي على تصحيح يونيو 2026. إشارة المعالجة المتوقعة هي أن أخطاء SQLite المرتبطة بـ JSON والمؤهلة (qualifying) والتي تُعاد إلى المتصلين الذين يفتقرون إلى صلاحية READ_CONTACTS تُستبدل برسالة عامة؛ غير أن هذا لا يثبت بحد ذاته غياب كل مؤشر (oracle) قابل للملاحظة.

الحالة الأمنية

تم الكشف عن هذه الثغرة (CVE) ومعالجتها علنًا في نشرة أمان أندرويد لشهر يونيو 2026. بالنسبة للثغرات الحالية في منتجات أندرويد، أبلغ عنها مباشرة عبر عملية Android Security. راجع SECURITY.md للحصول على إرشادات خاصة بهذا المستودع.

المراجع

• نشرة أمان أندرويد — يونيو 2026
• إصلاح AOSP: bb9f36b3ff6d42136afb61d527e1e8f67242fe32
• NVD: CVE-2026-0075

الترخيص

مرخّص بموجب رخصة Apache 2.0.