CVE-2026-0013

Android DocumentsUI कन्फ्यूज़्ड डेप्युटी भेद्यता (Confused Deputy) - सुरक्षा अनुसंधान सत्यापन परियोजना

महत्वपूर्ण घोषणा

यह रिपॉज़िटरी एक व्युत्पन्न संकलन रिपॉज़िटरी है, जो मूल मुख्य रिपॉज़िटरी के साथ संबद्ध है।

सुरक्षा प्रोटोकॉल

इस रिपॉज़िटरी तक पहुँचने से पहले, कृपया SECURITY_PROTOCOL.md को पढ़ना और समझना सुनिश्चित करें।

मुख्य बिंदु:

• यह रिपॉज़िटरी स्रोत कोड, आक्रमण उपकरण या शोषण फ्रेमवर्क प्रदान नहीं करती है
• संकलन आर्टिफ़ैक्ट सुरक्षा अनुसंधान सत्यापन नमूने हैं, जिनका उपयोग केवल शैक्षणिक अनुसंधान के लिए है
• किसी भी आर्थिक हानि या कानूनी परिणाम के लिए रिपॉज़िटरी निर्माता ज़िम्मेदार नहीं है
• उपयोगकर्ता स्वयं पूरी ज़िम्मेदारी वहन करेगा

त्वरित आरंभ

GitHub Pages: https://XiaoBaiLovesStirring.github.io/cve-2026-0013-poc/

संकलन ट्रिगर करें: https://github.com/XiaoBaiLovesStirring/cve-2026-0013-poc/actions

आर्टिफ़ैक्ट प्राप्त करें: git clone --branch artifacts https://github.com/XiaoBaiLovesStirring/cve-2026-0013-poc.git

अद्यतन घोषणाएँ

v1.0.4 (2026-08-23) - EXTRA_INTENT से स्व-निर्मित घटक प्रारंभ कराना

परिवर्तन: DocumentsUI द्वारा प्रारंभ किए गए targetIntent को नए स्व-निर्मित घटक IdTestActivity की ओर इंगित किया गया। यह घटक id निष्पादित करता है और चलने की पहचान तथा परिणाम को logcat और नोटिफ़िकेशन बार में लिखता है, जिससे दो महत्वपूर्ण तथ्यों का वास्तविक परीक्षण किया जा सके:

1. क्या OPPO का PickActivity वास्तव में Intent.EXTRA_INTENT का उपभोग करता है और लक्ष्य घटक को उसकी ओर से प्रारंभ करता है
2. प्रारंभ किया गया घटक वास्तव में किस UID/प्रोसेस में चलता है

तंत्र स्पष्टीकरण (महत्वपूर्ण): Android अलगाव मॉडल के अनुसार, किसी तृतीय-पक्ष ऐप का कोई भी घटक, चाहे उसे कोई भी प्रारंभ करे, केवल उसी प्रोसेस/UID में चलेगा जिसे उसने स्वयं घोषित किया है। केवल DocumentsUI द्वारा प्रारंभ कराने से, IdTestActivity अभी भी com.example.cve20260013exploit के अपने UID (जैसे u0_a702/10702) के साथ चलेगा, और स्वतः DocumentsUI के uid=10054 में परिवर्तित नहीं होगा। पूरे APK को 10054 प्राप्त कराने के लिए sharedUserId="android.uid.documentsui" (जिसके लिए system हस्ताक्षर आवश्यक है, तृतीय पक्ष के लिए उपलब्ध नहीं) या root वातावरण की आवश्यकता होती है। v1.0.4 का मूल्य यह सत्यापित करना है कि क्या EXTRA_INTENT का उपभोग होता है तथा प्रारंभ कराने वाले की वास्तविक पहचान क्या है।

v1.0.3 (2026-08-23) - ट्रिगर श्रृंखला सुधार (EXTRA_INTENT हटा दिया गया)

समस्या: OPPO/ColorOS पर, DocumentsUI का PickActivity अब कॉल करने वाले द्वारा भेजे गए Intent.EXTRA_INTENT का उपभोग नहीं करता। व्यावहारिक परीक्षण में mCallingUid अभी भी कॉल करने वाले u0_a702 का ही था, और PickActivity केवल अपना चयन इंटरफ़ेस प्रदर्शित करने के बाद रुक गया; DocumentsUI की पहचान (uid=10054) के साथ कोई भी लक्ष्य क्रिया प्रारंभ नहीं हुई, और मूल कन्फ्यूज़्ड डेप्युटी श्रृंखला वास्तव में टूट चुकी थी।

समाधान (ट्रिगर श्रृंखला पुनः डिज़ाइन):

• "हार्डकोडेड क्लास नाम + EXTRA_INTENT" विधि को हटाकर, सिस्टम Activity Resolver को वैध Intent (ACTION_OPEN_DOCUMENT / ACTION_GET_CONTENT + CATEGORY_OPENABLE + */*) के अंतर्गत DocumentsUI को हल करने दिया गया
• OPPO के संशोधित प्रवेश बिंदु picker.PickActivity और मूल प्रवेश बिंदु PickActivity के लिए स्पष्ट नामकरण फ़ॉलबैक बनाए रखा गया, ताकि प्रवेश बिंदु न मिलने पर क्रैश न हो
• DocumentsUI द्वारा लौटाए गए content:// अस्थायी अनुदान URI से अनुदान होस्ट की पहचान का पता लगाया गया (probeUriGrant), ताकि अनुदान देने वाले के दृष्टिकोण से कन्फ्यूज़्ड डेप्युटी की वैधता सत्यापित की जा सके
• ट्रिगर श्रृंखला के प्रत्येक चरण की जानकारी (resolver समाधान परिणाम + अंतिम प्रारंभित घटक) logcat और नोटिफ़िकेशन बार में लिखी गई, ताकि फ़ोन पर सीधे श्रृंखला का मार्ग पुष्टि किया जा सके

तंत्र स्पष्टीकरण: एप्लिकेशन स्वयं DocumentsUI प्रोसेस से कोई भी कमांड निष्पादित नहीं करवा सकता; कन्फ्यूज़्ड डेप्युटी की "विशेषाधिकार वृद्धि" इस बात में निहित है कि उसे आपकी ओर से उन अधिकृत संसाधनों को धारण/अग्रेषित करने दिया जाए जो केवल उसके अपने uid से ही प्राप्त हो सकते हैं। इसलिए v1.0.3 में यह सत्यापित करने के लिए परिवर्तन किया गया कि "DocumentsUI द्वारा प्रदत्त URI अनुमति किसे मिली", न कि एप्लिकेशन के अपने प्रोसेस में id निष्पादित करना।

संकलन सुधार रिकॉर्ड: पहला बिल्ड विफल हुआ, क्योंकि getPackageManager().resolveActivity() का रिटर्न प्रकार ResolveInfo था न कि ComponentName, और त्रुटि error: incompatible types: ResolveInfo cannot be converted to ComponentName दिखाई दी। सुधार में ResolveInfo.activityInfo से packageName/name निकालकर ComponentName बनाया गया और फिर बिल्ड सफल रहा।

v1.0.2 (2026-08-23) - id कमांड निष्पादित करना और नोटिफ़िकेशन बार में प्रदर्शित करना

परिवर्तन: अवधारणा सत्यापन की क्रिया "Termux प्रारंभ करना" से बदलकर "कन्फ्यूज़्ड डेप्युटी श्रृंखला ट्रिगर करने के बाद id कमांड निष्पादित करना और परिणाम को सिस्टम नोटिफ़िकेशन बार में प्रदर्शित करना" कर दी गई।

• DocumentsUI कन्फ्यूज़्ड डेप्युटी श्रृंखला ट्रिगर करने के बाद, एप्लिकेशन के भीतर id कमांड निष्पादित की जाती है (sh -c id, id, /system/bin/id, /system/xbin/id कई पथ आज़माए जाते हैं)
• uid/gid/groups आदि निष्पादन परिणाम नोटिफ़िकेशन बार में प्रदर्शित किए जाते हैं
• निर्माता के संशोधित प्रवेश बिंदु के लिए फ़ॉलबैक तर्क बनाए रखा गया (picker.PickActivity → मूल .PickActivity)
• नोटिफ़िकेशन भेजने के लिए Android 13+ POST_NOTIFICATIONS अनुमति जोड़ी गई

v1.0.1 (2026-08-23) - निर्माता के संशोधित प्रवेश बिंदु के लिए अनुकूलन

समस्या: कई निर्माताओं (जैसे OPPO) ने DocumentsUI के क्लास पथ को संशोधित किया है; मूल प्रवेश बिंदु com.android.documentsui.PickActivity को com.android.documentsui.picker.PickActivity में स्थानांतरित कर दिया गया है, जिसके कारण पुराने संकलन आर्टिफ़ैक्ट लक्ष्य डिवाइस पर शोषण प्रवेश बिंदु का पता नहीं लगा पाते।

समाधान:

• डिफ़ॉल्ट शोषण प्रवेश बिंदु को com.android.documentsui.picker.PickActivity में अद्यतन किया गया
• प्रवेश बिंदु उपलब्धता जाँच जोड़ी गई; यदि उप-पैकेज प्रवेश बिंदु मौजूद नहीं है, तो स्वचालित रूप से मूल पथ .PickActivity पर फ़ॉलबैक किया जाता है
• फ़ॉलबैक निर्णय तर्क: जब संशोधित प्रवेश बिंदु अनुपलब्ध पाया जाता है, तो लॉग दर्ज किया जाता है और मूल पथ आज़माया जाता है

संकलन विफलता की समस्या निवारण मार्गदर्शिका (महत्वपूर्ण):

• यदि क्लाउड संकलन विफल होता है, तो पहले GitHub Actions रन लॉग देखकर विशिष्ट त्रुटि का पता लगाएं
• यदि त्रुटि "प्रवेश बिंदु नहीं मिला / Activity not found" प्रकार की है, तो इसका अर्थ है कि लक्ष्य निर्माता ने DocumentsUI क्लास पथ को संशोधित कर दिया है
• कृपया dumpsys package com.android.documentsui या Activity Resolver Table के माध्यम से निर्माता द्वारा संशोधित वास्तविक प्रवेश बिंदु क्लास नाम की पुष्टि करें, फिर ExploitActivity.java में setClassName पैरामीटर संशोधित करें और पुनः संकलन ट्रिगर करने के लिए पुश करें

भेद्यता जानकारी

CVE-2026-0013 | HIGH (CVSS 8.4) | CWE-441 | Android 14-16 | DocumentsUI PickActivity

पैच अधिसूचना: Android Security Bulletin 2026-03-01