Laboratorio de Explotación del Kernel de Android

Este laboratorio te guía en la configuración de un entorno para explorar CVE-2019-2215, una vulnerabilidad crítica del kernel de Android en el subsistema binder.

Documentación

Detalles Técnicos: CVE-2019-2215

Esta vulnerabilidad es un use-after-free en el controlador binder de Android con las siguientes características:

Causa Raíz: Cuando se añade un fd de binder a una instancia epoll y luego el hilo termina, el objeto binder_thread se libera mientras sigue siendo accesible a través de epoll.
Ruta de Explotación:
- Añadir un descriptor de archivo binder a una instancia epoll
- Llamar al ioctl BINDER_THREAD_EXIT que libera binder_thread
- Acceder al binder_thread liberado a través de epoll
- Esto lleva a una condición de use-after-free explotable para escalada de privilegios
Impacto: Esta vulnerabilidad afecta a Android 8.x, 9.0 y versiones tempranas de 10, permitiendo potencialmente escalada de privilegios local a root.
Lecturas Adicionales:
- Informe original en Project Zero
- Parche en el kernel de Android

POR HACER

Este laboratorio está en progreso. Aquí hay mejoras planificadas:

Mejoras a Corto Plazo

Arreglar la configuración de Syzkaller para apuntar correctamente a syscalls específicas de Android
Arreglar este problema de Syzkaller

[    3.030651] clocksource: tsc: mask: 0xffffffffffffffff max_cycles: 0x2868278d270, max_idle_ns: 440795290098 ns
[    4.040338] clocksource: Switched to clocksource tsc
2025/03/24 21:04:23 running ssh: []string{"-p", "13199", "-F", "/dev/null", "-o", "UserKnownHostsFile=/dev/null", "-o", "IdentitiesOnly=yes", "-o", "BatchMode=yes", "-o", "StrictHostKeyChecking=no", "-o", "ConnectTimeout=10", "-i", "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa", "-v", "root@localhost", "pwd"}
2025/03/24 21:04:33 ssh failed: failed to run ["ssh" "-p" "13199" "-F" "/dev/null" "-o" "UserKnownHostsFile=/dev/null" "-o" "IdentitiesOnly=yes" "-o" "BatchMode=yes" "-o" "StrictHostKeyChecking=no" "-o" "ConnectTimeout=10" "-i" "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa" "-v" "root@localhost" "pwd"]: exit status 255
OpenSSH_9.9p2, OpenSSL 3.4.1 11 Feb 2025
debug1: Reading configuration data /dev/null
debug1: Connecting to localhost [::1] port 13199.
debug1: connect to address ::1 port 13199: Connection refused
debug1: Connecting to localhost [127.0.0.1] port 13199.
debug1: fd 3 clearing O_NONBLOCK
debug1: Connection established.
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa type 0
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa-cert type -1
debug1: Local version string SSH-2.0-OpenSSH_9.9
Connection timed out during banner exchange
Connection to 127.0.0.1 port 13199 timed out

Añadir instrucciones detalladas para analizar informes de fallo
Incluir una plantilla de exploit simple para CVE-2019-2215
Documentar configuraciones adecuadas del kernel para compatibilidad de arranque de VM QEMU

Mejoras Futuras

Añadir soporte para otras vulnerabilidades del kernel de Android
Crear un contenedor Docker para una configuración más fácil
Añadir guías de depuración más completas con ejemplos de GDB
Implementar una guía paso a paso para desarrollar un exploit completo de escalada de privilegios
Soporte para arquitectura ARM64 además de x86_64

Problemas Conocidos

[    3.030651] clocksource: tsc: mask: 0xffffffffffffffff max_cycles: 0x2868278d270, max_idle_ns: 440795290098 ns
[    4.040338] clocksource: Switched to clocksource tsc
2025/03/24 21:04:23 running ssh: []string{"-p", "13199", "-F", "/dev/null", "-o", "UserKnownHostsFile=/dev/null", "-o", "IdentitiesOnly=yes", "-o", "BatchMode=yes", "-o", "StrictHostKeyChecking=no", "-o", "ConnectTimeout=10", "-i", "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa", "-v", "root@localhost", "pwd"}
2025/03/24 21:04:33 ssh failed: failed to run ["ssh" "-p" "13199" "-F" "/dev/null" "-o" "UserKnownHostsFile=/dev/null" "-o" "IdentitiesOnly=yes" "-o" "BatchMode=yes" "-o" "StrictHostKeyChecking=no" "-o" "ConnectTimeout=10" "-i" "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa" "-v" "root@localhost" "pwd"]: exit status 255
OpenSSH_9.9p2, OpenSSL 3.4.1 11 Feb 2025
debug1: Reading configuration data /dev/null
debug1: Connecting to localhost [::1] port 13199.
debug1: connect to address ::1 port 13199: Connection refused
debug1: Connecting to localhost [127.0.0.1] port 13199.
debug1: fd 3 clearing O_NONBLOCK
debug1: Connection established.
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa type 0
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa-cert type -1
debug1: Local version string SSH-2.0-OpenSSH_9.9
Connection timed out during banner exchange
Connection to 127.0.0.1 port 13199 timed out

Contribuciones de la Comunidad

Si estás interesado en contribuir a este proyecto, por favor considera abordar cualquiera de los elementos anteriores o envía tus propias ideas a través de un pull request.

Ayuda

especialmente buscando ayuda con:

Arreglar los problemas conocidos
Mejorar la configuración de QEMU para mejor compatibilidad con el kernel de Android
Crear una configuración de fuzzing confiable que funcione en diferentes distribuciones de Linux

Si tienes experiencia en estas áreas, ¡tus contribuciones serán muy apreciadas!

Más Populares

android-kernel-exploitation-lab