Exploit simple para la verificación de CVE-2015-6606

Este es un exploit simple para verificar una vulnerabilidad de inyección de código que existe en el servicio de tarjeta inteligente SEEK versiones 3.1.0 y anteriores (CVE-2015-6606, bug interno de Google# ANDROID-22301786). La vulnerabilidad permite que paquetes de aplicaciones Android especialmente diseñados inyecten código arbitrario en el contexto de ejecución del servicio de sistema de tarjeta inteligente. Este código hereda todos los permisos otorgados a este servicio de sistema, que incluyen permisos de firma o de sistema que normalmente no se otorgan a aplicaciones de terceros.

Se pueden encontrar más detalles en nuestro informe Executing Arbitrary Code in the Context of the Smartcard System Service (véase la sección de literatura a continuación).

DESCARGO DE RESPONSABILIDAD

Utiliza esta aplicación bajo tu propio riesgo. No somos responsables de ningún daño causado por esta aplicación, uso incorrecto o imprecisiones en este manual.

LITERATURA

• CVE-2015-6606
• Google: Nexus Security Bulletin - October 2015
• M. Roland: "Executing Arbitrary Code in the Context of the Smartcard System Service," arXiv:1601.05833 [cs.CR], Computing Research Repository (CoRR), arXiv.org/corr, University of Applied Sciences Upper Austria, JR-Center u'smile, January 2016.
• M. Roland and M. Hlzl: "Open Mobile API: Accessing the UICC on Android Devices," arXiv:1601.03027 [cs.CR], Computing Research Repository (CoRR), arXiv.org/corr, University of Applied Sciences Upper Austria, JR-Center u'smile, January 2016.

License: GNU General Public License v3.0