APV लीक-सहायित ROP — Pixel 9 / media.swcodec

CVE-2026-0006 (APV डिकोडर हीप ओवरफ़्लो) के लिए छोटा, स्व-निहित शोध पैकेज। यह media.swcodec में एक नियंत्रित नेटिव कॉल प्रदर्शित करता है, जो __android_log_assert(NULL, NULL, "RCE-7F3A92C1") पर समाप्त होता है, और nonce एक वास्तविक tombstone (Abort message: 'RCE-7F3A92C1') में दिखाई देता है।

त्वरित शुरुआत

आवश्यकताएँ: Pixel 9 रूटेड (/debug_ramdisk/su), adb, NumPy के साथ Python 3.12। डिवाइस पर स्टॉक libobs.so होना चाहिए (कोई इंस्ट्रुमेंटेशन ओवरले नहीं)।

scripts/build_device.sh   # installs thumb3.dex and apvscan
scripts/run.sh 12         # up to 12 fresh attempts

सफलता पर RCE PROVATA प्रिंट होता है और out/APVRCE_success.txt लिखा जाता है। artifacts/tombstone_rce.txt संदर्भ रन से कैप्चर की गई सफलता है।

श्रृंखला

1. एक नया media.swcodec CLEAN_MSG.mp4 को डिकोड करता है (मेटाडेटा में nonce होता है)।
2. रीड-ओनली ऑरेकल (apvscan) लाइव मान निकालता है:
   • release@448 - 0x29044 → कोडेक बेस;
   • GOT[malloc] @ codec+0x2d448 → malloc@libc+0x596f0 → libc बेस।
3. gen/gen_forge.py APV comb पेलोड बनाता है:
   • release@448 = libc + 0xede9c (__libunwind_Registers_arm64_jumpto);
   • PC = liblog + 0xc250 (__android_log_assert);
   • x0=x1=0, x2 = RCE-7F3A92C1` वाले मेटाडेटा का पता;
   • SP एक वैध प्लेन की ओर इंगित करता है।
4. वही डेमन JT_LOG.mp4 को डिकोड करता है। फ़ोर्ज्ड release jumpto तक पहुँचता है, जो रजिस्टरों को पुनर्स्थापित करता है और नियंत्रित लॉग/असर्ट कॉल करवाता है।

यह लक्ष्य प्रक्रिया में एक एंड-टू-एंड ROP प्रदर्शन है, केवल PC/SP-आधारित प्रमाण नहीं।

खतरा मॉडल और सीमाएँ

• मॉडल A: एक एप्लिकेशन तैयार की गई फ़ाइल को डिकोड करता है और शोधकर्ता आउटपुट देख सकता है तथा अगले चरण को अनुकूलित कर सकता है। यह ज़ीरो-क्लिक एक्सप्लॉइट नहीं है।
• रनर release और दो GOT रीड्स के लिए रीड-ओनली लीक ऑरेकल के रूप में apvscan का उपयोग करता है। hdr10-plus-info आउटपुट लीक को शोध नोट्स में अलग से मान्य किया गया था; रनर यह दावा नहीं करता कि अकेली फ़ाइल उन मानों को किसी दूरस्थ पक्ष तक exfiltrate करती है।
• प्रमाण media.swcodec में नेटिव कोड निष्पादन है, न कि सैंडबॉक्स एस्केप या कर्नेल LPE।
• artifacts/JT_LOG.mp4 पॉइंटर/लेआउट-विशिष्ट प्रमाण है। इसे प्रत्येक रन के लिए पुनः जनरेट करें; यह सार्वभौमिक होने की अपेक्षा न करें।
• विश्वसनीयता लेआउट पर निर्भर है। रनर नए डेमन के साथ पुनः प्रयास करता है और निश्चित सफलता दर का दावा करने के बजाय प्रत्येक विफलता की रिपोर्ट करता है।

लेआउट

• scripts/pipeline_logprint.py — लीक/ऑरेकल, जनरेशन, हमला और प्रमाण कैप्चर।
• scripts/build_device.sh — डिवाइस पर रनटाइम फ़ाइलें इंस्टॉल करता है।
• scripts/run.sh — पूरी श्रृंखला शुरू करता है।
• gen/ — पेलोड जनरेटर और Thumb3 स्रोत/dex।
• scanner/ — apvscan स्रोत और प्रीबिल्ट arm64 बाइनरी।
• artifacts/ — संदर्भ MP4 और सफल tombstone।
• docs/ — अंग्रेज़ी और इतालवी ब्लॉग ड्राफ़्ट तथा बिल्ड-विशिष्ट ऑफ़सेट।

Italiano (सारांश)

यह पैकेज media.swcodec में एक नियंत्रित नेटिव कॉल प्रदर्शित करता है, केवल PC/SP नियंत्रण नहीं। पथ है: ताज़ा डिकोडर → पतों की व्युत्पत्ति → jumpto → टॉम्बस्टोन में नॉन्स RCE-7F3A92C1 के साथ __android_log_assert। यह न तो ज़ीरो-क्लिक प्रदर्शन है और न ही सैंडबॉक्स से एस्केप: यह कोडेक प्रक्रिया में एक ROP प्रमाण है, जिसमें ऊपर वर्णित सीमाएँ और खतरा मॉडल शामिल हैं।