cunninglogic/lgpwnएलजी रूट एक्सप्लॉइट
LG रूट एक्सप्लॉइट
लेखक: [email protected]
विशेष धन्यवाद: जग्गी, एक अपडेट में एक अजीब बाइनरी (spritebud) की ओर इशारा करने के लिए, जिसके कारण मुझे यह भेद्यता मिली।
विषय: Sprite Software के बैकअप सॉफ़्टवेयर में रेस कंडीशन, जो OEM द्वारा LG Android उपकरणों पर स्थापित किया गया है।
CVE ID: CVE-2013-3685
प्रभाव: न्यूनतम डिवाइस उपयोगकर्ता इंटरैक्शन के साथ स्थानीय रूप से शोषित भेद्यता, जिसके परिणामस्वरूप रूट उपयोगकर्ता के रूप में कोड निष्पादित होता है। विशिष्ट परिस्थितियों में, डिवाइस उपयोगकर्ता की जानकारी के बिना इस भेद्यता का शोषण करना संभव है।
उत्पाद: "Backup" "spritebud"
विक्रेता: Sprite Software LG Electronics संभावित अन्य विक्रेता
प्रभावित संस्करण: spritebud 1.3.24 backup 2.5.4105 संभवतः अन्य संस्करण भी
प्रभावित डिवाइस (फर्मवेयर कॉन्फ़िगरेशन के अधीन): LG-E971 LG Optimus G LG-E973 LG Optimus G LG-E975 LG Optimus G LG-E975K LG Optimus G LG-E975T LG Optimus G LG-E976 LG Optimus G LG-E977 LG Optimus G LG-F100K LG Optimus Vu LG-F100L LG Optimus Vu LG-F100S LG Optimus Vu LG-F120K LG Optimus Vu LG-F120L LG Optimus LTE Tag LG-F120S LG Optimus LTE Tag LG-F160K LG Optimus LTE 2 LG-F160L LG Optimus LTE 2 LG-F160LV LG Optimus LTE 2 LG-F160S LG Optimus LTE 2 LG-F180K LG Optimus G LG-F180L LG Optimus G LG-F180S LG Optimus G LG-F200K LG Optimus Vu 2 LG-F200L LG Optimus Vu 2 LG-F200S LG Optimus Vu 2 LG-F240K LG Optimus G Pro LG-F240L LG Optimus G Pro LG-F240S LG Optimus G Pro LG-F260K LG Optimus LTE 3 LG-F260L LG Optimus LTE 3 LG-F260S LG Optimus LTE 3 LG-L21 LG Optimus G LG-LG870 LG (अज्ञात) LG-LS860 LG Mach LG-LS970 LG Optimus G LG-P760 LG Optimus L9 LG-P769 LG Optimus L9 LG-P780 LG Optimus L7 LG-P875 LG Optimus F5 LG-P875h LG Optimus F5 LG-P880 LG Optimus 4X HD LG-P940 LG Prada LG-SU540 LG Prada 3.0 LG-SU870 LG Optimus 3D Cube LG-US780 LG Lollipop संभावित अन्य डिवाइस भी।
उत्पाद जानकारी:
"Backup" और "spritebud" Sprite Software द्वारा लिखी गई एक सेटिंग और एप्लिकेशन बैकअप/रिस्टोर प्रणाली है, जो LG Android स्मार्टफोन पर तैनात की जाती है। "Backup" अंतिम उपयोगकर्ता का फ्रंट एंड ऐप है, और "spritebud" वह सेवा है जो बैकअप और रिस्टोर कार्य करती है।
विवरण:
"spritebud" डेमॉन init स्क्रिप्ट द्वारा शुरू किया जाता है और रूट उपयोगकर्ता के रूप में चलता है। यूनिक्स सॉकेट पर सुनते हुए, डेमॉन "Backup" ऐप से निर्देश स्वीकार करता है। एक क्राफ्टेड बैकअप का उपयोग करके, हम किसी भी फ़ाइल में लिख सकते हैं, अनुमति बदल सकते हैं और स्वामित्व बदल सकते हैं, क्योंकि "spritebud" रूट उपयोगकर्ता के अंतर्गत चल रहा है।
क्राफ्टेड बैकअप में हमारे शोषण एप्लिकेशन, "com.cunninglogic.lgpwn" के लिए रिस्टोर डेटा होता है। डेटा में एक 50mb डमी फ़ाइल (a) शामिल है जिसका उपयोग हमारी शोषण विंडो बढ़ाने के लिए किया जाता है, su बाइनरी (b), su स्थापित करने के लिए एक स्क्रिप्ट (c), और एक टेक्स्ट फ़ाइल (d) जिसमें हमारी स्क्रिप्ट का पथ होता है। सभी फ़ाइलें एप्लिकेशन के स्वामित्व में हैं, और विश्व लेखन/पठन/निष्पादन योग्य हैं। सभी फ़ाइलें वर्णमाला क्रम में बहाल की जाती हैं। संपीड़न के बाद पूरा बैकअप लगभग 2mb है। इस बैकअप की संरचना इस प्रकार है:
drwxrwxrwx u0_a114 u0_a114 2013-05-28 20:13 files
./files:
बहाली से पहले, हमारा शोषण ऐप चलता है, प्रक्रिया को देखता है और प्रतीक्षा करता है। बहाली के दौरान, spritebud डेमॉन पहले files निर्देशिका बनाता है, फिर उसकी अनुमति और स्वामी सेट करता है। इसके बाद यह "a" फ़ाइल, हमारी 50mb डमी फ़ाइलों को डीकंप्रेस और पुनर्स्थापित करता है। "a" की बहाली के दौरान, हमारे शोषण एप्लिकेशन के पास "d" को सिमलिंक करने का समय होता है, हमारी टेक्स्ट फ़ाइल जिसमें हमारी स्क्रिप्ट (c) का पूर्ण पथ होता है, /sys/kernel/uevent_helper पर। फ़ाइल "d" की बहाली पर, हमारा पथ uevent_helper में लिखा जाता है। जब कोई हॉटप्लग घटना होती है (जो हर कुछ सेकंड में होती है), uevent_helper में निहित पथ कर्नेल द्वारा निष्पादित होता है और हमारी स्क्रिप्ट (c) निष्पादित होती है और su बाइनरी (b) स्थापित करती है।
