Applicabilité de CVE-2026-25262 au Snapdragon 8 Gen 1 — résultats expérimentaux
Statut :
Succès partiel — écriture SRAM arbitraire confirmée, initialisation complète de Firehose en attente.
Ce dépôt contient les résultats d'une étude expérimentale sur l'applicabilité de CVE-2026-25262 (Write-What-Where dans le protocole Sahara de Qualcomm) à la plateforme Snapdragon 8 Gen 1 (SM8450), en particulier sur l'appareil POCO F4 GT (nom de code ingres).
Résultats clés (confirmés) :
CVE-2026-25262 est exploitable sur SM8450. L'écriture de données arbitraires en SRAM pendant la poignée de main Sahara est possible tout en contournant la vérification de signature. Cela confirme l'applicabilité de la vulnérabilité à une plateforme ARMv9 64 bits moderne au-delà de la liste officiellement reconnue des chipsets hérités 32 et 64 bits (ARMv7-A, ARMv8-A).
Le drapeau d'authentification critique a été identifié. L'analyse statique du chargeur Firehose (xbl_s_devprg_ns.melf) a révélé une structure globale à l'adresse 0x6b9cd500. L'état d'authentification est contrôlé par un champ 64 bits à l'offset 0x38 (0x6b9cd538). Selon l'analyse statique, définir ce champ à 5 devrait théoriquement accorder un accès complet.
L'injection du drapeau est techniquement réalisable. À l'aide d'un outil personnalisé (cve_final_single), la valeur 5 a été écrite à l'adresse 0x6b9cd538 avant de transférer le contrôle au chargeur. L'écriture est enregistrée dans le journal, mais l'effet direct de cette opération sur la désactivation de l'authentification reste sujet à vérification ultérieure.
Le code du chargeur est en cours d'exécution. Après injection, le chargeur Firehose répond aux commandes de base (nop), et l'erreur d'authentification (Only nop and sig tag...) n'est pas observée. Cela confirme que le code est actif, bien que le contexte exact d'exécution (Monde Non‑Sécurisé ou état transitoire) reste sujet à une analyse plus approfondie.
L'accès complet UFS n'a pas encore été obtenu. Des commandes telles que getstorageinfo renvoient une réponse vide ; le chargeur ne fournit pas d'informations de diagnostic (TargetName, MemoryName, Version). Cela indique une initialisation incomplète.
Le comportement du PBL en cas d'erreur de hachage (sous démarrage standard vérifié par signature) a été établi. La corruption intentionnelle de la table de hachage dans un fichier de référence déclenche systématiquement une erreur de statut 48 (SAHARA_NAK_HASH_VERIFICATION_FAILURE) avec les outils d'origine (edl, qdl). Cela sert de référence pour la vérification.
Statut actuel :
Nous étudions activement les étapes restantes pour parvenir à une initialisation complète de Firehose. Deux hypothèses principales sont examinées :
En parallèle, l'hypothèse concernant la dépendance TrustZone de Firehose sera explorée : si le pilote utilise des appels SMC pour l'accès UFS, ils devront être neutralisés via du patching.
Les travaux sont en cours. Le dépôt sera mis à jour à mesure que de nouveaux résultats seront obtenus.
Structure du dépôt :
├── README.md
├── docs/
│ └── README_ru.md
├── article/
│ ├── article_en.md
│ └── article_ru.md
├── evidence/
│ ├── pbl_status_en.md
│ └── pbl_status_ru.md
│ ├── ghidra_analysis_en.md
│ └── ghidra_analysis_ru.md
│ └── cve_injection_log_en.md
│ └── cve_injection_log_ru.md
└── tools/
├── README_en.md
└── README_ru.md
⚠️ Divulgation responsable :
Ce travail est publié à des fins éducatives et de recherche. Le code d'exploitation complet n'est pas fourni. Les détails décrits sont suffisants pour la vérification et des études complémentaires, mais n'incluent pas d'outils prêts à l'emploi pour des attaques.
📬 Contact :
Pour toute question ou collaboration, veuillez ouvrir une issue dans ce dépôt.
Dernière mise à jour : juillet 2026