Portar CVE-2019-2215 (bad binder) a Huawei P20lite (Android 8.0.0)

Descripción

Este proyecto es un exploit para CVE-2019-2215 en Huawei P20lite con versión Android 8.0.0. El kernel está en la versión 4.4.23.

Esta vulnerabilidad es probablemente la más documentada (tutoriales, port real a un teléfono físico) sobre este tema y tengo un teléfono vulnerable, así que es un buen punto de partida para aprender explotación del kernel de Android.

Advertencia: El exploit hace que todos los tipos SELinux sean permisivos, por lo que podría permitir que otras aplicaciones eviten SELinux.

Instalación

Clona el repositorio primero:

git clone https://github.com/willboka/CVE-2019-2215-HuaweiP20Lite.git
cd CVE-2019-2215-HuaweiP20Lite

Clona setools-android en la carpeta CVE-2019-2215-HuaweiP20Lite y compila libsepol (libsepol.a). Usa el siguiente comando para hacer eso:

make libsepol

Es necesario para evadir SELinux.

Compila el proyecto con el comando:

make # or do: NDK_PROJECT_PATH=. ndk-build NDK_APPLICATION_MK=./Application.mk

El binario está en la carpeta libs/arm64-v8a.

Compila y envía a /data/local/tmp usando:

make push

Uso

Lanza el binario cve-2019-2215 desde la CLI (probado con Termux y ADB):

/data/local/tmp/cve-2019-2215 # from adb

Reinicia para restablecer las políticas SELinux.

Demo

Enlaces

Enlaces que usé para aprender sobre la explotación de esta vulnerabilidad.

Pruebas en dispositivos virtuales

• Explicación de bad binder de Project Zero: Explicación de la vulnerabilidad y de cómo convertirla en una primitiva de lectura/escritura arbitraria en el PoC.
• Explotación del kernel de Android: Explica más a fondo la vulnerabilidad y la configuración para la vulnerabilidad, y hay valor añadido en la depuración (scripts de GDB, uso de sanitizer).
• Personalizando CVE-2019-2215 para obtener Root: Método para evadir las características de seguridad del kernel de Linux.

Desarrollo en dispositivo real

• s8_2019_2215_poc: Caso real de portabilidad del exploit: uso la evasión de la caché AVC de este, pero desafortunadamente no pude usar la misma técnica para obtener entradas de símbolos porque experimenté fallos del kernel al leer algunas páginas del kernel. En su lugar, deduzco el desplazamiento de Kaslr del primer símbolo afectado por Kaslr en el task_struct filtrado (fair_sched_class).
• cve2019-2215-3.18: Este exploit es en realidad el más cercano, ya que el desplazamiento del campo wait en binder_struct es 0xa8 en este caso (0x98 en su caso).