Exploit simple pour la vérification de CVE-2015-6606

Il s'agit d'un exploit simple permettant de vérifier une vulnérabilité d'injection de code présente dans le service de carte à puce SEEK versions 3.1.0 et antérieures (CVE-2015-6606, bug interne Google# ANDROID-22301786). La vulnérabilité permet à des packages d'applications Android spécialement conçus d'injecter du code arbitraire dans le contexte d'exécution du service système de carte à puce. Ce code hérite de toutes les permissions accordées à ce service système, qui incluent des permissions de type signature-ou-système qui ne sont normalement pas accordées aux applications tierces.

De plus amples détails sont disponibles dans notre rapport Executing Arbitrary Code in the Context of the Smartcard System Service (voir la section littérature ci-dessous).

AVERTISSEMENT

Vous utilisez cette application à vos propres risques. Nous ne sommes pas responsables des dommages causés par cette application, d'une utilisation incorrecte ou d'inexactitudes dans ce manuel.

LITTÉRATURE

• CVE-2015-6606
• Google : Nexus Security Bulletin - October 2015
• M. Roland : "Executing Arbitrary Code in the Context of the Smartcard System Service," arXiv:1601.05833 [cs.CR], Computing Research Repository (CoRR), arXiv.org/corr, University of Applied Sciences Upper Austria, JR-Center u'smile, janvier 2016.
• M. Roland et M. Hlzl : "Open Mobile API: Accessing the UICC on Android Devices," arXiv:1601.03027 [cs.CR], Computing Research Repository (CoRR), arXiv.org/corr, University of Applied Sciences Upper Austria, JR-Center u'smile, janvier 2016.

Licence : GNU General Public License v3.0