CVE-2015-6606 के सत्यापन के लिए सरल एक्सप्लॉइट

यह SEEK स्मार्टकार्ड सेवा संस्करण 3.1.0 और उससे नीचे (CVE-2015-6606, Google आंतरिक बग# ANDROID-22301786) में मौजूद कोड इंजेक्शन भेद्यता को सत्यापित करने के लिए एक सरल एक्सप्लॉइट है। यह भेद्यता विशेष रूप से तैयार किए गए Android एप्लिकेशन पैकेजों को स्मार्टकार्ड सिस्टम सेवा के निष्पादन संदर्भ में मनमाना कोड इंजेक्ट करने की अनुमति देती है। यह कोड इस सिस्टम सेवा को दिए गए सभी अनुमतियों को प्राप्त करता है, जिनमें हस्ताक्षर-या-सिस्टम अनुमतियाँ शामिल हैं जो सामान्यतः तृतीय-पक्ष ऐप्स को नहीं दी जाती हैं।

अधिक विवरण हमारी रिपोर्ट Executing Arbitrary Code in the Context of the Smartcard System Service में पाए जा सकते हैं (नीचे साहित्य अनुभाग देखें)।

अस्वीकरण

आप इस एप्लिकेशन का उपयोग अपने जोखिम पर कर रहे हैं। इस एप्लिकेशन, गलत उपयोग या इस मैनुअल में अशुद्धियों के कारण होने वाली किसी भी क्षति के लिए हम जिम्मेदार नहीं हैं।

साहित्य

• CVE-2015-6606
• Google: Nexus Security Bulletin - October 2015
• M. Roland: "Executing Arbitrary Code in the Context of the Smartcard System Service," arXiv:1601.05833 [cs.CR], Computing Research Repository (CoRR), arXiv.org/corr, University of Applied Sciences Upper Austria, JR-Center u'smile, January 2016.
• M. Roland and M. Hlzl: "Open Mobile API: Accessing the UICC on Android Devices," arXiv:1601.03027 [cs.CR], Computing Research Repository (CoRR), arXiv.org/corr, University of Applied Sciences Upper Austria, JR-Center u'smile, January 2016.

License: GNU General Public License v3.0