CVE-2024-23700 - إثبات المفهوم (PoC) لتصعيد الامتيازات في Android Companion Device

هذا المشروع يوضح CVE-2024-23700، وهي ثغرة تصعيد امتيازات تتعلق بآلية Companion Device في Android. يُظهر إثبات المفهوم (PoC) كيف يمكن لتطبيق استغلال تدفق ربط الجهاز المصاحب (Companion Device) للحصول على أذونات حساسة دون المرور عبر تفاعل منح الأذونات المعتاد في البيئات المعرضة للخطر.

المواد والكود المصدري في هذا المستودع مخصصة فقط للأغراض التعليمية، وتحليل الأمان، والاختبار في بيئة مصرح بها. لا تستخدم على أجهزة أو حسابات أو بيانات ليست ضمن نطاق الاختبار القانوني.

معلومات عن الموضوع

الموضوع ضمن مادة: الأمان على الأجهزة المحمولة

الفريق المنفذ: تم تنفيذ الموضوع بواسطة فريق مكون من 4 أعضاء.

أثناء البحث وإتمام هذا المشروع، قام الفريق بالمهام التالية:

• فهم آلية Companion Device Manager ومجموعة الأذونات الممنوحة عبر ملف تعريف الجهاز (device profile).
• تحليل إثبات المفهوم CVE-2024-23700 والظروف التي تجعل الجهاز عرضة للتأثر.
• إعادة بناء تطبيق Android نموذجي لمحاكاة سلوك منح الأذونات، وقراءة البيانات الحساسة، وتسجيل النتائج في بيئة المختبر.
• إضافة واجهة تطبيق ملاحظات، ومستمع إشعارات (Notification Listener)، وإرسال البيانات المجمعة إلى خادم اختبار داخلي لمراقبة البيانات التي تم الحصول عليها.

نظرة عامة

ينفذ المشروع تطبيق Android يتظاهر بأنه تطبيق ملاحظات بسيط (My Notes). عند التشغيل، يستدعي التطبيق CompanionDeviceManager.associate() مع ملف تعريف جهاز مصاحب لمحاكاة عملية الاستيلاء على الأذونات عبر CVE-2024-23700. إذا كان الجهاز أو ROM يستوفي شروط الثغرة، يمكن للتطبيق الحصول على أذونات حساسة إضافية والوصول إلى البيانات مثل جهات الاتصال، الرسائل النصية، سجل المكالمات، التقويم، الإشعارات، وبعض معلومات الجهاز.

التدفق الرئيسي لعمل إثبات المفهوم:

1. تهيئة تطبيق الملاحظات: عرض واجهة إدخال وحفظ الملاحظات لإخفاء سلوك الاختبار.
2. استدعاء Companion Device Manager: إنشاء طلب ربط جهاز مصاحب باستخدام ملف تعريف الساعة (watch profile).
3. معالجة نشاط الارتباط (association activity): يقوم المكون CompanionAssociationActivity بمحاكاة استجابة الموافقة على ربط الجهاز.
4. التحقق من الأذونات وجمع البيانات: إذا تم منح الأذونات، يقرأ التطبيق بيانات الاختبار من موفري المحتوى (content providers) المناسبين.
5. تسجيل النتائج: يتم تغليف البيانات بتنسيق JSON وإرسالها إلى نقطة نهاية المختبر لتحليلها.

معلومات CVE

كود الثغرة: CVE-2024-23700
مستوى الخطورة في Android: حرج (Critical)
المكون ذو الصلة: Android Companion Device Manager
التصحيح المرجعي: نشرة أمان Android Wear 2024-05-01
التزام التصحيح المرجعي: تصحيح AOSP frameworks/base

وفقًا لملف README الأصلي لإثبات المفهوم، فإن معظم أجهزة Android العادية غير متأثرة، باستثناء بعض الحالات مثل:

• أجهزة WearOS التي تحتوي على تصحيح أمان قبل تاريخ 2024-05-01.
• ROMs التي أزالت أو أتلفت المكون com.android.companiondevicemanager.
• الأجهزة التي تم تعطيل آلية التحقق من التوقيع أو تم تغييرها بواسطة وحدات طرف ثالث.

إذا تعذر تثبيت APK الخاص بإثبات المفهوم على الجهاز، فقد يكون ذلك مؤشرًا على أن الجهاز لا يستوفي شروط الثغرة.

هيكل الدليل

CVE-2024-23700/
├── app/
│   ├── build.gradle - تكوين وحدة تطبيق Android
│   ├── proguard-rules.pro - قواعد ProGuard لوحدة التطبيق
│   └── src/main/
│       ├── AndroidManifest.xml - تعريف الأذونات، النشاطات، ومستمع الإشعارات
│       ├── java/
│       │   ├── com/android/companiondevicemanager/
│       │   │   └── CompanionAssociationActivity.java - النشاط الذي يعالج تدفق الارتباط
│       │   └── com/vsoft/mynotes/
│       │       ├── MainActivity.java - المنطق الرئيسي لتطبيق إثبات المفهوم
│       │       └── NotificationListener.java - خدمة الاستماع للإشعارات
│       └── res/
│           ├── drawable/ - موارد الرسم للتطبيق
│           ├── drawable-v24/ - موارد الرسم لواجهة برمجة التطبيقات 24+
│           ├── layout/main.xml - واجهة تطبيق الملاحظات
│           ├── mipmap-*/ - أيقونات التطبيق حسب كثافة الشاشة
│           └── values/ - سلاسل النصوص والمظهر للتطبيق
├── gradle/wrapper/ - ملفات Gradle wrapper jar وتكوينه
├── .gitignore - قواعد استثناء الملفات المحلية، مخرجات البناء، السجلات، والنصوص المساعدة
├── build.gradle - تكوين Gradle على مستوى المشروع
├── gradle.properties - إعدادات Gradle للمشروع
├── gradlew - سكريبت تشغيل Gradle على Linux/macOS
├── gra dlew.bat - سكريبت تشغيل Gradle على Windows
├── settings.gradle - تعريف المشروع والوحدات
└── README.md

المكونات الرئيسية

مجموعة الأذونات التي تم اختبارها

يعلن ملف Manifest للتطبيق عن العديد من مجموعات الأذونات للتحقق من تأثير الثغرة في البيئات المعرضة للخطر:

• ملف تعريف المصاحب (Companion profile): REQUEST_COMPANION_PROFILE_WATCH, REQUEST_COMPANION_PROFILE_GLASSES
• تقييد الخلفية (Background restriction): REQUEST_COMPANION_RUN_IN_BACKGROUND, REQUEST_COMPANION_USE_DATA_IN_BACKGROUND
• جهات الاتصال: READ_CONTACTS, WRITE_CONTACTS, GET_ACCOUNTS
• الرسائل النصية: READ_SMS, SEND_SMS, RECEIVE_SMS, RECEIVE_MMS, RECEIVE_WAP_PUSH
• المكالمات: READ_PHONE_STATE, , , ,

تنسيق البيانات المراقبة

يتم تغليف البيانات المرسلة إلى خادم المختبر بتنسيق JSON. مجموعات البيانات الرئيسية تشمل:

• device_info: معلومات الجهاز، إصدار Android، اسم الجهاز، معرف Android، IP، التطبيقات المثبتة، الحسابات، SIM، Wi-Fi، البطارية، ذاكرة الوصول العشوائي (RAM)، والمساحة الفارغة.
• c_cache: بيانات جهات الاتصال المقروءة في بيئة الاختبار.
• l_cache: سجل المكالمات.
• s_cache: الرسائل النصية.
• cal_cache: أحداث التقويم.
• gps_cache: أقرب موقع إذا منح المستخدم إذن الموقع.
• n_cache: الإشعارات الحالية أو الجديدة التي سجلها NotificationListener.
• n_active: حالة تشغيل مستمع الإشعارات.

ملاحظات

• قم بتشغيل إثبات المفهوم فقط على الأجهزة والحسابات والبيانات المصرح باختبارها.
• من الأفضل استخدام بيانات وهمية أو جهاز مختبر منفصل لتجنب تسريب المعلومات الشخصية.
• يجب استبدال نقطة نهاية استلام البيانات في MainActivity.java بنقطة نهاية داخلية يتحكم بها المختبر.
• لا تنشر APK مبني مسبقًا علنًا إذا لم يتم إزالة نقطة النهاية والسجلات وبيانات الاختبار الحساسة.
• على الأجهزة التي تم تصحيحها، قد يفشل تدفق الارتباط أو تثبيت APK؛ هذه نتيجة متوقعة.