CVE-2017-13253

CVE-2017-13253 के लिए PoC कोड।

पूर्ण विवरण यहाँ उपलब्ध है। ध्यान दें कि संख्याएँ ब्लॉग पोस्ट से थोड़ी भिन्न हैं, क्योंकि मैंने पाया है कि 0x2000 के हीप के साथ क्रैश की अधिक संभावना है (बेशक यदि आप इसे पर्याप्त बार चलाते हैं तो यह वैसे भी क्रैश हो जाना चाहिए)।

प्रश्नों/समस्याओं/टिप्पणियों के लिए आप मुझसे ट्विटर पर संपर्क कर सकते हैं (@tamir_zb)।

निर्माण

इसे बनाने के लिए:

Android स्रोत कोड डाउनलोड करें।
इस रिपॉजिटरी को AOSP/external में रखें।
निम्नलिखित कमांड चलाएँ:

    cd AOSP
    source build/envsetup.sh
    make icrypto_overflow

परिणाम

इसे Android के एक अप्रचलित संस्करण (मार्च 2018 से पहले 8.0-8.1) के विरुद्ध चलाने पर एक ओवरफ्लो होना चाहिए। इसके परिणामस्वरूप क्रैश हो सकता है, यह इस पर निर्भर करता है कि अधिलेखित डेटा लिखने योग्य है या नहीं।

कोड को decrypt विधि का आउटपुट प्रिंट करना चाहिए, जो भिन्न हो सकता है:

यदि इसे Android के पैच किए गए संस्करण (मार्च 2018 या बाद का) के विरुद्ध चलाया जा रहा है, तो decrypt को BAD_VALUE (-22) लौटाना चाहिए।
यदि कोई क्रैश नहीं होता (अधिलेखित डेटा लिखने योग्य है) तो decrypt को कॉपी किए गए डेटा की मात्रा लौटानी चाहिए।
यदि विक्रेता HAL को एक अलग प्रक्रिया के रूप में लागू करता है (जैसे Pixel 2), तो decrypt को UNKNOWN_ERROR (-32) लौटाना चाहिए।
यदि विक्रेता HAL को उसी प्रक्रिया में लागू करता है (जैसे Nexus 5X), तो decrypt को 0 लौटाना चाहिए।

यहाँ इस PoC को चलाने से प्राप्त एक आंशिक क्रैश डंप है:

Build fingerprint: 'google/walleye/walleye:8.1.0/OPM1.171019.011/4448085:user/release-keys'
Revision: 'MP1'
ABI: 'arm'
pid: 761, tid: 5232, name: HwBinder:761_1  >>> /vendor/bin/hw/[email protected] <<<
signal 11 (SIGSEGV), code 2 (SEGV_ACCERR), fault addr 0xee20f000
    r0 ee20f000  r1 ee20d021  r2 00001eff  r3 00000001
    r4 00000001  r5 00000000  r6 ed117008  r7 00000000
    r8 00000000  r9 fffff82a  sl ee20d000  fp ee20efff
    ip 08000000  sp ed2893c8  lr ed369e6b  pc edda7f0c  cpsr 20070010

backtrace:
    #00 pc 00018f0c  /system/lib/libc.so (__memcpy_base+244)
    #01 pc 00004e67  /vendor/lib/mediadrm/libdrmclearkeyplugin.so (clearkeydrm::CryptoPlugin::decrypt(bool, unsigned char const*, unsigned char const*, android::CryptoPlugin::Mode, android::CryptoPlugin::Pattern const&, void const*, android::CryptoPlugin::SubSample const*, unsigned int, void*, android::AString*)+82)
    ...

memory map (205 entries):
(fault address prefixed with --->)
    ...
    ee20d000-ee20efff rw-         0      2000  /dev/ashmem/MemoryHeapBase (deleted)
--->ee20f000-ee20ffff ---         0      1000  [anon:thread signal stack guard page]
    ...

जैसा कि आप देख सकते हैं, फॉल्ट एड्रेस शेयर्ड मेमोरी के ठीक बाद की मेमोरी है। चूंकि यह मेमोरी राइट-प्रोटेक्टेड है, इसलिए ओवरफ्लो के परिणामस्वरूप सेगमेंटेशन फॉल्ट हुआ।

CVE-2017-13253

सबसे लोकप्रिय

CVE-2017-13253

निर्माण

परिणाम