Bad Spin: Android Binder LPE

Autor: Moshe Kol

Privilege-Escalation-Exploit von unstrusted_app für die Android-Binder-Sicherheitslücke (CVE-2022-20421). Die Sicherheitslücke wurde im Android Security Bulletin vom Oktober 2022 gepatcht. Der Exploit funktioniert auf Geräten mit Kernel-Versionen 5.4.x und 5.10.x und ermöglicht vollständige Kernel-Lese-/Schreib-Primitive. Für das Google Pixel 6 erreicht er zudem vollständigen Root-Zugriff und umgeht SELinux.

Die vollständige Analyse finden Sie hier.

Ausführung über die Shell

1. Kompilieren Sie die Bibliothek libbadspin.so, indem Sie im Verzeichnis src/ den Befehl make push ausführen. Dadurch wird die Bibliothek auch nach /data/local/tmp übertragen.
2. Führen Sie adb shell aus.
3. Führen Sie LD_PRELOAD=/data/local/tmp/libbadspin.so sleep 1 aus. Dadurch wird die Bibliothek geladen und der Exploit gestartet.

Ausführung über die Demo-App

1. Kompilieren Sie libbadspin.so, indem Sie im Verzeichnis src/ den Befehl make push ausführen. Dadurch wird die Bibliothek in das Verzeichnis assets der Android-Demo-App kopiert.
2. Kompilieren Sie die Android-Demo-App im Verzeichnis app/. (Dazu benötigen Sie möglicherweise Android Studio.)
3. Führen Sie die App aus und klicken Sie auf die Schaltfläche „Exploit“.
4. Logs anzeigen mit: adb logcat -s BADSPIN

Kompilierungsoptionen

Sie können die folgenden Variablen an make übergeben:

• VERBOSE=1 für ausführlichere Ausgabe.
• TEST_VULN=1 zum Testen der Sicherheitslücke, ohne den Exploit auszuführen.

Getestete Geräte

$ make list
0: Samsung Galaxy S22, Android 12 (6/2022), kernel 5.10.81
1: Samsung Galaxy S21 Ultra, Android 12 (3/2022), kernel 5.4.129
2: Google Pixel 6, Android 12 (5/2022), kernel 5.10.66
3: Google Pixel 6, Android 13 (9/2022), kernel 5.10.107

Unterstützung für ein neues Gerät

Es ist nicht schwierig, den Exploit anzupassen und ein neues Gerät zu unterstützen.

1. Stellen Sie sicher, dass Ihr neues Gerät mit Kernel-Version 5.4.x oder 5.10.x läuft und der Android-Sicherheitspatch-Level unter Oktober 2022 liegt.

2. Fügen Sie Ihre Geräteeigenschaften in dev_config.h hinzu.

3. Geben Sie zwei Funktionszeiger an:

   • kimg_to_lm(): Wandelt einen virtuellen Zeiger des Kernel-Images in die lineare Abbildung um.
   • find_kbase(): Findet die Kernel-Basisadresse aus einem offengelegten Zeiger von anon_pipe_buf_ops.

   Sie können die bereits bereitgestellten Funktionen dafür verwenden. (Wenn Ihr Hersteller nicht Samsung ist und Sie sich unsicher sind, verwenden Sie dieselben Funktionen wie für das Pixel 6.)

4. Kompilieren und ausführen.

Wenn es bei Ihnen funktioniert, reichen Sie bitte einen Pull-Request ein.

Bekannte Probleme

• Das Telefon könnte bei fehlgeschlagenen Versuchen abstürzen.
• Der Exploit ist in den ersten Minuten nach dem Booten instabil.
• Funktioniert nur mit Kernel-Versionen 5.4.x und 5.10.x.
• Erreicht nur auf Nicht-Pixel-Geräten Kernel-Lesen/Schreiben.