frawlaboy/cve-2026-39973-pocPreuve de concept (builder) pour CVE-2026-39973 (apktool)
Il s'agit d'un petit générateur de fichiers APK en C# pour CVE-2026-39973.
CVE-2026-39973 est une vulnérabilité de traversée de chemin au sein du dépôt GitHub iBotPeaches/Apktool affectant la version 3.0.1.
Elle permet aux attaquants de créer leurs propres ressources et d'injecter une séquence ..\ dans le type d'une entrée, permettant à un acteur malveillant d'écrire n'importe quel fichier dans ou dans le chemin de démarrage de Windows.
~/.bashrcCette vulnérabilité provient d'une régression de sécurité dans le commit e10a045 (PR #4041) qui supprime BrutIO.detectPossibleDirectoryTraversal() de ResFileDecoder.java
ResFileDecoder.java#L103-L109 AVANT :
String outResPath = entry.getTypeName() + entry.getConfig().getQualifiers() + "/" + entry.getName();
if (BrutIO.detectPossibleDirectoryTraversal(outResPath)) {
LOGGER.warning("Potentially malicious file path: " + outResPath + ", using instead: " + inResPath);
outResPath = inResPath;
} else if (!ext.isEmpty()) {
outResPath += "." + ext;
}
ResFileDecoder.java#L103-L104 APRÈS :
String outResPath = entry.getTypeName() + entry.getConfig().getQualifiers() + "/" + entry.getName()
+ (ext.isEmpty() ? "" : "." + ext);
Ce commit a supprimé une vérification jugée « inutile » sur l'ensemble du chemin de sortie car entry.name était déjà vérifié au préalable (constructeur de ResEntrySpec).
L'auteur a oublié que le nom du type de l'entrée pouvait être sujet à une traversée de chemin en créant notre propre resources.arsc malveillant.
resources.arsc est un fichier contenant les données de ressources, les chemins, les noms de types et plus encore.
Il stocke tout ce dont nous avons besoin pour pouvoir modifier le nom du type ou créer un fichier resource.arsc afin d'exploiter Apktool.
Malgré sa récurrence, je n'ai trouvé qu'une documentation pauvre mais satisfaisante sur la sérialisation.
À ce stade, il est fortement recommandé de lire la documentation d'apktool.
J'ai commencé à me baser directement sur Apktool car je vais devoir construire un fichier resources.arsc exclusivement pour cette application.
J'ai téléchargé un fichier APK aléatoire sur Internet et je l'ai ouvert avec 7zip. Ensuite, j'ai extrait le fichier resources.arsc et commencé à étudier les structures de données ainsi que le code d'analyse d'Apktool.
Puis j'ai créé un petit générateur C# pour le fichier resources.arsc, écrivant une ResTable et une ResPackage avec un ResType qui contient la séquence ..\ et le chemin du dossier de démarrage de Windows, il possède également une entrée qui est le fichier de charge utile.