تسريب APV بمساعدة ROP — Pixel 9 / media.swcodec

حزمة بحثية صغيرة ومكتفية ذاتيًا لـ CVE-2026-0006 (تجاوز سعة كومة محلل APV). توضح استدعاءً أصليًا مُتحكَّمًا به داخل media.swcodec، ينتهي بـ __android_log_assert(NULL, NULL, "RCE-7F3A92C1") مع ظهور الـ nonce في tombstone حقيقي (Abort message: 'RCE-7F3A92C1').

البدء السريع

المتطلبات: Pixel 9 مُروَّت (/debug_ramdisk/su)، وadb، وPython 3.12 مع NumPy. يجب أن يستخدم الجهاز libobs.so الأصلي (بدون طبقة instrumentation).

scripts/build_device.sh   # installs thumb3.dex and apvscan
scripts/run.sh 12         # up to 12 fresh attempts

عند النجاح تُطبع RCE PROVATA ويُكتب out/APVRCE_success.txt. artifacts/tombstone_rce.txt هو النجاح المُلتقط من التشغيل المرجعي.

السلسلة

1. يقوم media.swcodec جديد بفك ترميز CLEAN_MSG.mp4 (بيانات وصفية تحمل الـ nonce).
2. يستخرج oracle للقراءة فقط (apvscan) القيم الحية:
   • release@448 - 0x29044 → قاعدة codec؛
   • GOT[malloc] @ codec+0x2d448 → malloc@libc+0x596f0 → قاعدة libc.
3. يبني gen/gen_forge.py حمولة APV comb:
   • release@448 = libc + 0xede9c (__libunwind_Registers_arm64_jumpto)؛
   • PC = liblog + 0xc250 (__android_log_assert)؛
   • x0=x1=0، x2 = address of the metadata carrying RCE-7F3A92C1`؛
   • SP يشير إلى plane صالح.
4. يفك نفس الـ daemon ترميز JT_LOG.mp4. يصل release المُزوَّر إلى jumpto، الذي يستعيد السجلات ويُجري استدعاء log/assert المُتحكَّم به.

هذا عرض ROP من البداية إلى النهاية داخل العملية الهدف، وليس دليلًا يقتصر على PC/SP.

نموذج التهديد والحدود

• النموذج A: يقوم تطبيق بفك ترميز الملف المصنوع ويمكن للباحث مراقبة المخرجات وتكييف المرحلة التالية. وهو ليس استغلالًا بدون نقر.
• يستخدم المشغّل apvscan كـ oracle تسريب للقراءة فقط لـ release وقراءتي GOT. تم التحقق من تسريب مخرجات hdr10-plus-info بشكل منفصل في ملاحظات البحث؛ ولا يدّعي المشغّل أن الملف وحده يُسرّب تلك القيم إلى طرف بعيد.
• الدليل هو تنفيذ كود أصلي داخل media.swcodec، وليس هروبًا من sandbox أو LPE للنواة.
• artifacts/JT_LOG.mp4 دليل خاص بالمؤشر/التخطيط. أعد توليده لكل تشغيل؛ لا تتوقع أن يكون عالميًا.
• الموثوقية تعتمد على التخطيط. يعيد المشغّل المحاولة مع daemon جديد ويُبلّغ عن كل فشل بدلًا من ادعاء معدل نجاح ثابت.

التخطيط

• scripts/pipeline_logprint.py — التسريب/oracle، والتوليد، والهجوم، والتقاط الأدلة.
• scripts/build_device.sh — يثبّت ملفات وقت التشغيل على الجهاز.
• scripts/run.sh — يبدأ السلسلة الكاملة.
• gen/ — مولّد الحمولة ومصدر/dex الخاص بـ Thumb3.
• scanner/ — مصدر apvscan والملف الثنائي arm64 المُجمَّع مسبقًا.
• artifacts/ — ملفات MP4 المرجعية والـ tombstone الناجح.
• docs/ — مسودات مدونة بالإنجليزية والإيطالية بالإضافة إلى إزاحات خاصة بالبناء.

Italiano (sintesi)

تُظهر الحزمة استدعاءً أصليًا مُتحكَّمًا به في media.swcodec، وليس فقط التحكم في PC/SP. المسار هو: فك ترميز جديد → اشتقاق العناوين → jumpto → __android_log_assert مع nonce RCE-7F3A92C1 في الـ tombstone. ليست عرضًا توضيحيًا من نوع zero-click ولا هروبًا من الـ sandbox: بل هو إثبات ROP في عملية الـ codec، مع القيود ونموذج التهديد الموصوفين أعلاه.