CVE-2026-0075 ContactsProvider अनुसंधान PoC

ContactsProvider2 में CVE-2026-0075 से जुड़े अवलोकन योग्य व्यवहार का मूल्यांकन करने के लिए एक नियंत्रित-प्रयोगशाला Android अनुसंधान प्रोटोटाइप।

अवलोकन

CVE-2026-0075, ContactsProvider2 में एक Android स्थानीय विशेषाधिकार-उन्नयन (local elevation-of-privilege) समस्या है। सार्वजनिक सलाह (advisory) SQL इंजेक्शन के माध्यम से संपर्क-डेटाबेस (contacts-database) तक पहुँच का एक संभावित मार्ग बताती है, जिसमें उपयोगकर्ता की सहभागिता की आवश्यकता नहीं होती। Android इस समस्या को उच्च श्रेणी में सूचीबद्ध करता है और Android 14, 15, 16, तथा 16-qpr2 को प्रभावित AOSP संस्करणों के रूप में पहचानता है। 2026-06-05 या उसके बाद के सुरक्षा पैच स्तर वाले डिवाइस जून 2026 बुलेटिन की समस्याओं का समाधान करते हैं।

शामिल ऐप एक स्टैंडअलोन Java/Android PoC है जो जानबूझकर न तो READ_CONTACTS और न ही WRITE_CONTACTS घोषित करता है। इसका उद्देश्य अधिकृत शोधकर्ताओं को नियंत्रित बिल्ड पर अनुमति-सीमा (permission-boundary) व्यवहार और अपवाद-प्रबंधन (exception handling) की तुलना करने में सहायता करना है।

दायरा और सुरक्षा

यह रिपॉज़िटरी केवल अधिकृत सुरक्षा अनुसंधान के लिए है।

• एक डिस्पोज़ेबल एमुलेटर या प्रयोगशाला डिवाइस का उपयोग करें जो आपके स्वामित्व में हो या जिसे परीक्षण हेतु स्पष्ट रूप से अधिकृत किया गया हो।
• लक्ष्य में केवल सिंथेटिक संपर्क डेटा डालें।
• PoC का उपयोग प्रोडक्शन डिवाइस, तृतीय-पक्ष डिवाइस या वास्तविक संपर्क डेटाबेस के विरुद्ध न करें।
• परिणामों को बिल्ड-विशिष्ट मानें। एक इमेज पर सफल अवलोकन यह प्रमाण नहीं है कि उसी Android संस्करण पर चलने वाला हर डिवाइस असुरक्षित है।

यह परियोजना किसी सार्वभौमिक शोषण मार्ग (universal exploitation path) का दावा नहीं करती। यह एक नियंत्रित अवलोकन दर्ज करती है जिसे लक्षित बिल्ड, उसके पैच स्तर और उसके ContactsProvider कार्यान्वयन के विरुद्ध मान्य किया जाना चाहिए।

रिपॉज़िटरी संरचना

.
├── no-permission-probe/       Standalone Android application and PowerShell helpers
│   ├── build.ps1              Compiles, packages, aligns, and signs a debug APK
│   ├── run-poc.ps1            Installs the APK and starts the controlled probe
│   ├── AndroidManifest.xml    No READ_CONTACTS or WRITE_CONTACTS declaration
│   ├── res/                   Android resources
│   └── src/                   Application source
├── CONTRIBUTING.md            Contribution and research-data requirements
├── SECURITY.md                Vulnerability reporting guidance
└── .gitignore                 Local build and IDE exclusions

तकनीकी संदर्भ

सार्वजनिक AOSP फिक्स, bb9f36b3ff6d42136afb61d527e1e8f67242fe32, का शीर्षक Fix side channel attacks in CP2 है। यह ContactsProvider2 को बदलता है ताकि READ_CONTACTS न रखने वाले कॉलर के लिए JSON-संबंधित SQLiteException संदेश हटा दिए जाएँ, और कर्सर मटेरियलाइज़ेशन (cursor materialization) को अपवाद-प्रबंधन पथ में लाता है। यह PoC नियंत्रित पहले/बाद के व्यवहारिक तुलना के लिए डिज़ाइन किया गया है; यह पैच सत्यापन का विकल्प नहीं है।

पूर्वापेक्षाएँ

• PowerShell 5.1 या PowerShell 7+ के साथ Windows
• JDK जिसमें javac, jar, और keytool PATH पर उपलब्ध हों
• Android SDK प्लेटफ़ॉर्म android-35
• Android SDK Build-Tools 36.0.0
• Android Platform Tools (adb)
• एक अधिकृत एमुलेटर या परीक्षण डिवाइस जिसमें केवल सिंथेटिक संपर्क हों

बिल्ड करने से पहले ANDROID_HOME को SDK रूट पर सेट करें। ANDROID_SDK_ROOT का उपयोग आपके स्थानीय टूलिंग द्वारा भी किया जा सकता है, लेकिन प्रदान की गई स्क्रिप्टें ANDROID_HOME पढ़ती हैं।

$env:ANDROID_HOME = 'C:\Android\Sdk'

बिल्ड

रिपॉज़िटरी रूट से:

Set-Location .\no-permission-probe
.\build.ps1

हस्ताक्षरित डीबग APK no-permission-probe\build\probe.apk पर लिखा जाता है। build निर्देशिका को संस्करण नियंत्रण (version control) से बाहर रखा गया है।

नियंत्रित प्रयोगशाला रन

1. केवल सिंथेटिक संपर्कों वाला एक अधिकृत एमुलेटर या परीक्षण डिवाइस प्रारंभ करें।

2. डिवाइस और पैच स्तर की पुष्टि करें:

   root@kitploit:~

   adb devices
   adb shell getprop ro.build.version.security_patch
   

3. ऐप बनाएँ, फिर चलाएँ:

   root@kitploit:~

   Set-Location .\no-permission-probe
   .\run-poc.ps1
   

4. केवल एप्लिकेशन UI और स्कोप किए गए लॉग टैग की समीक्षा करें:

   root@kitploit:~

   adb logcat -s CVE20260075Probe:I
   

रन हेल्पर कनेक्टेड परीक्षण डिवाइस से एक सटीक data/<id> URI चुनता है और रीड ग्रांट (read grant) के साथ एक्टिविटी लॉन्च करता है। इसे उन जगहों पर उपयोग न करें जहाँ वह व्यवहार स्पष्ट रूप से अधिकृत नहीं है।

सत्यापन दिशानिर्देश

एक ठोस परिणाम के लिए, हर रन के साथ निम्नलिखित दर्ज करें:

• डिवाइस मॉडल या एमुलेटर इमेज, Android रिलीज़, बिल्ड फ़िंगरप्रिंट और सुरक्षा पैच स्तर
• परीक्षण के लिए उपयोग की गई सटीक सीमित URI ग्रांट
• पुष्टि कि केवल सिंथेटिक संपर्क मौजूद थे
• क्या कोई कॉल परिणाम, सैनिटाइज़्ड अपवाद (sanitized exception), गैर-सैनिटाइज़्ड अपवाद, या अनुमति अस्वीकृति (permission denial) उत्पन्न करता है
• वह बिंदु जिस पर अपवाद घटित होता है: प्रोवाइडर कॉल या कर्सर उपभोग (cursor consumption)

एक ज्ञात असुरक्षित प्रयोगशाला इमेज की तुलना उस इमेज से करें जिसमें जून 2026 फिक्स शामिल है। अपेक्षित सुधार संकेत यह है कि READ_CONTACTS न रखने वाले कॉलर को लौटाई गई पात्र JSON-संबंधित SQLite त्रुटियों को एक सामान्य संदेश से बदल दिया जाता है; यह अपने आप में हर अवलोकन योग्य ओरेकल की अनुपस्थिति स्थापित नहीं करता।

सुरक्षा स्थिति

यह CVE सार्वजनिक रूप से प्रकट किया गया था और जून 2026 Android सुरक्षा बुलेटिन में इसका समाधान किया गया। वर्तमान Android उत्पाद भेद्यताओं के लिए, सीधे Android Security प्रक्रिया के माध्यम से रिपोर्ट करें। रिपॉज़िटरी-विशिष्ट दिशानिर्देशों के लिए SECURITY.md देखें।

संदर्भ

• Android सुरक्षा बुलेटिन — जून 2026
• AOSP फिक्स: bb9f36b3ff6d42136afb61d527e1e8f67242fe32
• NVD: CVE-2026-0075

लाइसेंस

Apache License 2.0 के अंतर्गत लाइसेंस प्राप्त।