Laboratoire d'exploitation du noyau Android

Ce laboratoire vous guide dans la mise en place d'un environnement pour explorer CVE-2019-2215, une vulnérabilité critique du noyau Android dans le sous-système binder.

Documentation

Détails techniques : CVE-2019-2215

Cette vulnérabilité est un use-after-free dans le pilote binder Android avec les caractéristiques suivantes :

Cause racine : Lorsqu'un fd binder est ajouté à une instance epoll et que le thread se termine, l'objet binder_thread est libéré tout en restant accessible via epoll.
Chemin d'exploitation :
- Ajouter un descripteur de fichier binder à une instance epoll
- Appeler l'ioctl BINDER_THREAD_EXIT qui libère binder_thread
- Accéder au binder_thread libéré via epoll
- Cela conduit à une condition use-after-free exploitable pour une élévation de privilèges
Impact : Cette vulnérabilité affecte Android 8.x, 9.0 et les premières versions de 10, permettant potentiellement une élévation de privilèges locale vers root.
Pour en savoir plus :
- Rapport original sur Project Zero
- Correctif dans le noyau Android

À faire

Ce laboratoire est en cours de développement. Voici les améliorations prévues :

Améliorations à court terme

Corriger la configuration de Syzkaller pour cibler correctement les appels système spécifiques à Android
Corriger ce problème Syzkaller

[    3.030651] clocksource: tsc: mask: 0xffffffffffffffff max_cycles: 0x2868278d270, max_idle_ns: 440795290098 ns
[    4.040338] clocksource: Switched to clocksource tsc
2025/03/24 21:04:23 running ssh: []string{"-p", "13199", "-F", "/dev/null", "-o", "UserKnownHostsFile=/dev/null", "-o", "IdentitiesOnly=yes", "-o", "BatchMode=yes", "-o", "StrictHostKeyChecking=no", "-o", "ConnectTimeout=10", "-i", "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa", "-v", "root@localhost", "pwd"}
2025/03/24 21:04:33 ssh failed: failed to run ["ssh" "-p" "13199" "-F" "/dev/null" "-o" "UserKnownHostsFile=/dev/null" "-o" "IdentitiesOnly=yes" "-o" "BatchMode=yes" "-o" "StrictHostKeyChecking=no" "-o" "ConnectTimeout=10" "-i" "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa" "-v" "root@localhost" "pwd"]: exit status 255
OpenSSH_9.9p2, OpenSSL 3.4.1 11 Feb 2025
debug1: Reading configuration data /dev/null
debug1: Connecting to localhost [::1] port 13199.
debug1: connect to address ::1 port 13199: Connection refused
debug1: Connecting to localhost [127.0.0.1] port 13199.
debug1: fd 3 clearing O_NONBLOCK
debug1: Connection established.
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa type 0
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa-cert type -1
debug1: Local version string SSH-2.0-OpenSSH_9.9
Connection timed out during banner exchange
Connection to 127.0.0.1 port 13199 timed out

Ajouter des instructions détaillées pour analyser les rapports de crash
Inclure un modèle d'exploit simple pour CVE-2019-2215
Documenter les paramètres de configuration du noyau appropriés pour la compatibilité de démarrage de la VM QEMU

Améliorations futures

Ajouter la prise en charge d'autres vulnérabilités du noyau Android
Créer un conteneur Docker pour une configuration plus facile
Ajouter des guides de débogage plus complets avec des exemples GDB
Mettre en œuvre un guide étape par étape pour développer un exploit complet d'élévation de privilèges
Prise en charge de l'architecture ARM64 en plus de x86_64

Problèmes connus

[    3.030651] clocksource: tsc: mask: 0xffffffffffffffff max_cycles: 0x2868278d270, max_idle_ns: 440795290098 ns
[    4.040338] clocksource: Switched to clocksource tsc
2025/03/24 21:04:23 running ssh: []string{"-p", "13199", "-F", "/dev/null", "-o", "UserKnownHostsFile=/dev/null", "-o", "IdentitiesOnly=yes", "-o", "BatchMode=yes", "-o", "StrictHostKeyChecking=no", "-o", "ConnectTimeout=10", "-i", "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa", "-v", "root@localhost", "pwd"}
2025/03/24 21:04:33 ssh failed: failed to run ["ssh" "-p" "13199" "-F" "/dev/null" "-o" "UserKnownHostsFile=/dev/null" "-o" "IdentitiesOnly=yes" "-o" "BatchMode=yes" "-o" "StrictHostKeyChecking=no" "-o" "ConnectTimeout=10" "-i" "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa" "-v" "root@localhost" "pwd"]: exit status 255
OpenSSH_9.9p2, OpenSSL 3.4.1 11 Feb 2025
debug1: Reading configuration data /dev/null
debug1: Connecting to localhost [::1] port 13199.
debug1: connect to address ::1 port 13199: Connection refused
debug1: Connecting to localhost [127.0.0.1] port 13199.
debug1: fd 3 clearing O_NONBLOCK
debug1: Connection established.
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa type 0
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa-cert type -1
debug1: Local version string SSH-2.0-OpenSSH_9.9
Connection timed out during banner exchange
Connection to 127.0.0.1 port 13199 timed out

Contributions de la communauté

Si vous êtes intéressé à contribuer à ce projet, veuillez envisager de traiter l'un des éléments ci-dessus ou soumettre vos propres idées via une pull request.

Aide

nous recherchons particulièrement de l'aide pour :

Corriger les problèmes connus
Améliorer la configuration QEMU pour une meilleure compatibilité avec le noyau Android
Créer une configuration de fuzzing fiable qui fonctionne sur différentes distributions Linux

Si vous avez de l'expertise dans ces domaines, vos contributions seraient grandement appréciées !

Populaires

android-kernel-exploitation-lab