Exynos Exploit

Dies ist ein POC zur Ausnutzung der /dev/exynos-mem-Sicherheitslücke, die in älteren Samsung-Telefonen eingeführt wurde. Es wurde aus Interesse an Kernel-Sicherheitsforschung und als Teil einer CTF-Herausforderung erstellt.

Der Exploit

Die in diesen Telefonen eingeführte Sicherheitslücke betrifft die Berechtigungen für das exynos-mem-Gerät. Es erlaubte Benutzern sowohl Lese- als auch Schreibzugriff, sogar als Nicht-Root! Das exynos-mem-Gerät ist ein Gerät, mit dem Sie direkt auf /dev/mem lesen/schreiben können, was bedeutet, dass Sie direkt in Kernel-Code/-Daten schreiben können.

Durch die Nutzung von /proc/iomem können Sie schnell herausfinden, welche physikalischen Adressen welchem Speicher im Betriebssystem entsprechen, und sogar herausfinden, wo sich der Speicher für Kernel-Code/-Daten befindet.

Der Exploit führt mehrere Schritte aus, um Root-Zugriff zu erlangen:

1. Da wir nicht root sind, können wir nicht auf /proc/kallsyms zugreifen, was uns einschränkt. Daher scannen wir den Kernel-Speicher, um den in kallsyms verwendeten Formatstring zu finden (seq_printf(m, "%pK %c %s\n", (void *)iter->value, iter->type, iter->name);) und patchen ihn, sodass er %p anstelle von %pK verwendet, um die Symboladressen als Benutzer ausgedruckt zu bekommen.
2. Lese /proc/kallsyms, um die Adresse des Symbols nsown_capable zu finden, das verwendet wird, um zu identifizieren, ob ein Benutzer, der setuid() aufruft, die Berechtigung dazu hat.
3. Verwende diese Adresse und überschreibe den Funktionscode von nsown_capable, um einfach return true; zu machen, sodass jeder Benutzer setuid() mit beliebiger uid aufrufen kann.
4. Rufe setuid(0) und system(/bin/sh) auf.

Hinweise

Die Konstanten in der Datei müssen möglicherweise ein wenig geändert werden, um für Ihr System korrekt zu sein; passen Sie sie nach Bedarf an.