نقل CVE-2019-2215 (binder السيئ) إلى Huawei P20lite (Android 8.0.0)

الوصف

هذا المشروع عبارة عن استغلال (exploit) لثغرة CVE-2019-2215 على جهاز Huawei P20lite بنظام Android 8.0.0. النواة (Kernel) بإصدار 4.4.23.

هذه الثغرة ربما تكون الأكثر توثيقًا (دروس، نقل حقيقي على هاتف فعلي) حول هذا الموضوع، ولدي هاتف قابل للاستغلال، لذا فهذه نقطة انطلاق جيدة لتعلّم استغلال نواة أندرويد.

تحذير: الاستغلال يجعل جميع أنواع SELinux مسموحة (permissive)، لذلك قد يسمح لتطبيقات أخرى بتجاوز SELinux.

التثبيت

استنسخ المستودع أولاً:

git clone https://github.com/willboka/CVE-2019-2215-HuaweiP20Lite.git
cd CVE-2019-2215-HuaweiP20Lite

استنسخ setools-android في المجلد CVE-2019-2215-HuaweiP20Lite وقم بتجميع libsepol (libsepol.a). استخدم الأمر التالي لفعل ذلك:

make libsepol

هذا مطلوب لتجاوز SELinux.

قم ببناء المشروع باستخدام الأمر:

make # أو بدلاً من ذلك: NDK_PROJECT_PATH=. ndk-build NDK_APPLICATION_MK=./Application.mk

الملف التنفيذي موجود في المجلد libs/arm64-v8a.

قم بالبناء والدفع إلى /data/local/tmp باستخدام:

make push

الاستخدام

شغّل الملف التنفيذي cve-2019-2215 من سطر الأوامر (تم اختباره مع Termux و ADB):

/data/local/tmp/cve-2019-2215 # من adb

أعد التشغيل لإعادة تعيين سياسات SELinux.

العرض التوضيحي

الروابط

روابط استخدمتها لتعلّم استغلال هذه الثغرة.

الاختبار على الأجهزة الافتراضية

• شرح Project Zero حول bad binder: شرح للثغرة بالإضافة إلى كيفية تحويلها إلى primitive قراءة/كتابة عشوائية في الـ PoC.
• استغلال نواة أندرويد: يشرح الثغرة بمزيد من العمق والإعداد الخاص بها، وهناك قيمة مضافة حول التصحيح (سكربتات GDB، استخدام sanitizer).
• تخصيص CVE-2019-2215 للحصول على صلاحيات الجذر: طريقة حول تجاوز ميزات أمان نواة لينكس.

التطوير على جهاز حقيقي

• s8_2019_2215_poc: حالة حقيقية لنقل الاستغلال - استخدمت تجاوز ذاكرة التخزين المؤقت avc cache من هذا المشروع، لكن للأسف لم أتمكن من استخدام نفس التقنية للحصول على مدخلات الرموز (symbol entries) لأنني واجهت أعطالًا في النواة عند قراءة بعض صفحات النواة. بدلاً من ذلك، خمّنت إزاحة Kaslr من أول رمز متأثر بـ Kaslr في task_struct المسرَّب (fair_sched_class).
• cve2019-2215-3.18: هذا الاستغلال هو في الواقع الأقرب، لأن إزاحة حقل wait في binder_struct هي 0xa8 في هذه الحالة (0x98 في حالته).