TempRoot-Huawei

Root temporaire pour le noyau durci de Huawei via CVE-2019-2215

Ce code est écrit pour le P20 Pro (CLT-AL00), et le décalage du noyau est extrait du firmware avec l'empreinte de build : 'HUAWEI/CLT-AL00/HWCLT:8.1.0/HUAWEICLT-AL00/176(C00):user/release-keys'

Contexte

À l'instar de KNOX de Samsung, Huawei a ajouté de nombreux mécanismes pour empêcher l'exploitation par les pirates et améliorer la « sécurité ».

• active DEBUG_SPINLOCK qui ajoute une vérification supplémentaire sur les spinlocks
• Le pointeur de pile du noyau dans la structure task a été obscurci à l'aide d'un décalage aléatoire kti_offset (comme KASLR)
• get_fs() retourne soit KERNEL_DS soit USER_DS ; modifier current_thread_info()->addr_limit ne fonctionnera pas
• uid/gid/capabilités dans la structure cred sont protégés par l'hyperviseur (EL2) ; le processus sera immédiatement tué lors de la vérification d'accès s'il devient root sans utiliser commit_creds()
• CONFIG_SECURITY_SELINUX_DEVELOP n'est pas définie, SeLinux ne peut pas être placé dans un état permissif global
• de nombreuses variables critiques sont en lecture seule après l'init ou protégées par l'hyperviseur, notamment ss_initialized, policydb->permissive_map, security_hook_heads

Ces mécanismes rendent difficile l'exploitation des anciens appareils Huawei même s'ils sont vulnérables à CVE-2019-2215.

Utilisation

Tout d'abord, compilez et exécutez patch_system.c ; cela neutralisera selinux en brouillant le mapping selinux et en appelant avc_ss_reset().

Ensuite, compilez et exécutez poc.c pour obtenir un shell root.

(Optionnel) Compilez le démon su et démarrez-le via poc pour permettre à d'autres applications d'utiliser root (voir scripts/termux-boot).

Remarques

Le démon su est tiré et modifié depuis https://github.com/corellium/sud