Android Kernel Exploitation Labor

Dieses Labor führt Sie durch die Einrichtung einer Umgebung zur Erkundung von CVE-2019-2215, einer kritischen Android-Kernel-Sicherheitslücke im Binder-Subsystem.

Dokumentation

Technische Details: CVE-2019-2215

Diese Sicherheitslücke ist ein Use-After-Free im Android-Binder-Treiber mit den folgenden Eigenschaften:

Grundursache: Wenn ein Binder-Dateideskriptor zu einer Epoll-Instanz hinzugefügt wird und dann der Thread beendet wird, wird das binder_thread-Objekt freigegeben, während es noch über Epoll zugänglich ist.
Ausnutzungspfad:
- Einen Binder-Dateideskriptor zu einer Epoll-Instanz hinzufügen
- Das ioctl BINDER_THREAD_EXIT aufrufen, das binder_thread freigibt
- Auf das freigegebene binder_thread über Epoll zugreifen
- Dies führt zu einem Use-After-Free-Zustand, der für eine Privilegieneskalation ausgenutzt werden kann
Auswirkungen: Diese Sicherheitslücke betrifft Android 8.x, 9.0 und frühe Versionen von 10 und ermöglicht möglicherweise eine lokale Privilegieneskalation zu Root.
Weiterführende Literatur:
- Originalbericht auf Project Zero
- Patch im Android-Kernel

TODO

Dieses Labor ist in Arbeit. Hier sind geplante Verbesserungen:

Kurzfristige Verbesserungen

Syzkaller-Konfiguration korrigieren, um Android-spezifische Syscalls richtig anzusprechen
Dieses Syzkaller-Problem beheben

[    3.030651] clocksource: tsc: mask: 0xffffffffffffffff max_cycles: 0x2868278d270, max_idle_ns: 440795290098 ns
[    4.040338] clocksource: Switched to clocksource tsc
2025/03/24 21:04:23 running ssh: []string{"-p", "13199", "-F", "/dev/null", "-o", "UserKnownHostsFile=/dev/null", "-o", "IdentitiesOnly=yes", "-o", "BatchMode=yes", "-o", "StrictHostKeyChecking=no", "-o", "ConnectTimeout=10", "-i", "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa", "-v", "root@localhost", "pwd"}
2025/03/24 21:04:33 ssh failed: failed to run ["ssh" "-p" "13199" "-F" "/dev/null" "-o" "UserKnownHostsFile=/dev/null" "-o" "IdentitiesOnly=yes" "-o" "BatchMode=yes" "-o" "StrictHostKeyChecking=no" "-o" "ConnectTimeout=10" "-i" "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa" "-v" "root@localhost" "pwd"]: exit status 255
OpenSSH_9.9p2, OpenSSL 3.4.1 11 Feb 2025
debug1: Reading configuration data /dev/null
debug1: Connecting to localhost [::1] port 13199.
debug1: connect to address ::1 port 13199: Connection refused
debug1: Connecting to localhost [127.0.0.1] port 13199.
debug1: fd 3 clearing O_NONBLOCK
debug1: Connection established.
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa type 0
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa-cert type -1
debug1: Local version string SSH-2.0-OpenSSH_9.9
Connection timed out during banner exchange
Connection to 127.0.0.1 port 13199 timed out

Detaillierte Anweisungen zur Analyse von Absturzberichten hinzufügen
Eine einfache Exploit-Vorlage für CVE-2019-2215 einfügen
Korrekte Kernel-Konfigurationseinstellungen für die Kompatibilität des QEMU-VM-Starts dokumentieren

Zukünftige Erweiterungen

Unterstützung für andere Android-Kernel-Sicherheitslücken hinzufügen
Einen Docker-Container für eine einfachere Einrichtung erstellen
Umfassendere Debugging-Anleitungen mit GDB-Beispielen hinzufügen
Eine Schritt-für-Schritt-Anleitung zur Entwicklung eines vollständigen Privilegieneskalations-Exploits implementieren
Unterstützung für ARM64-Architektur zusätzlich zu x86_64

Bekannte Probleme

[    3.030651] clocksource: tsc: mask: 0xffffffffffffffff max_cycles: 0x2868278d270, max_idle_ns: 440795290098 ns
[    4.040338] clocksource: Switched to clocksource tsc
2025/03/24 21:04:23 running ssh: []string{"-p", "13199", "-F", "/dev/null", "-o", "UserKnownHostsFile=/dev/null", "-o", "IdentitiesOnly=yes", "-o", "BatchMode=yes", "-o", "StrictHostKeyChecking=no", "-o", "ConnectTimeout=10", "-i", "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa", "-v", "root@localhost", "pwd"}
2025/03/24 21:04:33 ssh failed: failed to run ["ssh" "-p" "13199" "-F" "/dev/null" "-o" "UserKnownHostsFile=/dev/null" "-o" "IdentitiesOnly=yes" "-o" "BatchMode=yes" "-o" "StrictHostKeyChecking=no" "-o" "ConnectTimeout=10" "-i" "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa" "-v" "root@localhost" "pwd"]: exit status 255
OpenSSH_9.9p2, OpenSSL 3.4.1 11 Feb 2025
debug1: Reading configuration data /dev/null
debug1: Connecting to localhost [::1] port 13199.
debug1: connect to address ::1 port 13199: Connection refused
debug1: Connecting to localhost [127.0.0.1] port 13199.
debug1: fd 3 clearing O_NONBLOCK
debug1: Connection established.
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa type 0
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa-cert type -1
debug1: Local version string SSH-2.0-OpenSSH_9.9
Connection timed out during banner exchange
Connection to 127.0.0.1 port 13199 timed out

Beiträge der Community

Wenn Sie Interesse haben, zu diesem Projekt beizutragen, ziehen Sie bitte in Betracht, eines der oben genannten Punkte zu bearbeiten oder eigene Ideen über einen Pull-Request einzureichen.

Hilfe

Besonders gesucht wird Hilfe bei:

Behebung der bekannten Probleme
Verbesserung der QEMU-Konfiguration für eine bessere Kompatibilität mit dem Android-Kernel
Erstellung eines zuverlässigen Fuzzing-Setups, das über verschiedene Linux-Distributionen hinweg funktioniert

Wenn Sie in diesen Bereichen über Fachkenntnisse verfügen, wäre Ihr Beitrag sehr willkommen!