Portage de CVE-2019-2215 (bad binder) vers Huawei P20lite (Android 8.0.0)

Description

Ce projet est un exploit pour CVE-2019-2215 sur Huawei P20lite en version Android 8.0.0. Le noyau est en version 4.4.23.

Cette vulnérabilité est probablement la plus documentée (tutoriels, portage réel sur téléphone physique) sur ce sujet et je possède un téléphone vulnérable, c'est donc un bon point de départ pour apprendre l'exploitation du noyau Android.

Avertissement : L'exploit rend tous les types SELinux permissifs, il pourrait donc permettre à d'autres applications de contourner SELinux.

Installation

Clonez d'abord le dépôt :

git clone https://github.com/willboka/CVE-2019-2215-HuaweiP20Lite.git
cd CVE-2019-2215-HuaweiP20Lite

Clonez setools-android dans le dossier CVE-2019-2215-HuaweiP20Lite et compilez libsepol (libsepol.a). Utilisez la commande suivante pour ce faire :

make libsepol

C'est nécessaire pour contourner SELinux.

Construisez le projet avec la commande :

make # or do: NDK_PROJECT_PATH=. ndk-build NDK_APPLICATION_MK=./Application.mk

Le binaire se trouve dans le dossier libs/arm64-v8a.

Construisez et poussez dans /data/local/tmp en utilisant :

make push

Utilisation

Lancez le binaire cve-2019-2215 depuis la CLI (testé avec Termux et ADB) :

/data/local/tmp/cve-2019-2215 # from adb

Redémarrez pour réinitialiser les politiques SELinux.

Demo

Liens

Liens que j'ai utilisés pour apprendre à exploiter cette vulnérabilité.

Test sur appareils virtuels

• Explication du bad binder de Project Zero : Explication de la vulnérabilité ainsi que la façon d'en faire une primitive de lecture / écriture arbitraire dans la PoC.
• Exploitation du noyau Android : Explique plus en profondeur la vulnérabilité et la configuration pour la vulnérabilité, avec une vraie valeur ajoutée sur le débogage (scripts GDB, utilisation du sanitizer).
• Adapter CVE-2019-2215 pour obtenir root : Méthode pour contourner les fonctionnalités de sécurité du noyau Linux.

Développement sur appareil réel

• s8_2019_2215_poc : Cas réel de portage de l'exploit - j'utilise le contournement du cache avc de celui-ci, mais malheureusement je n'ai pas pu utiliser la même technique pour obtenir les entrées de symboles car je rencontre des crashs du noyau lors de la lecture de certaines pages du noyau. À la place, je devine le décalage Kaslr à partir du premier symbole affecté par Kaslr dans la task_struct divulguée (fair_sched_class).
• cve2019-2215-3.18 : Cet exploit est en réalité le plus proche, car le décalage du champ wait dans binder_struct est 0xa8 dans ce cas (0x98 dans le sien).