Laboratorio di Sfruttamento del Kernel Android

Questo laboratorio ti guida nella configurazione di un ambiente per esplorare la CVE-2019-2215, una vulnerabilità critica del kernel Android nel sottosistema binder.

Documentazione

Dettagli Tecnici: CVE-2019-2215

Questa vulnerabilità è un use-after-free nel driver binder di Android con le seguenti caratteristiche:

Causa Principale: Quando un fd binder viene aggiunto a un'istanza epoll e poi il thread termina, l'oggetto binder_thread viene liberato pur essendo ancora accessibile tramite epoll.
Percorso di Sfruttamento:
- Aggiungere un descrittore di file binder a un'istanza epoll
- Chiamare l'ioctl BINDER_THREAD_EXIT che libera binder_thread
- Accedere al binder_thread liberato tramite epoll
- Questo porta a una condizione use-after-free sfruttabile per l'escalation dei privilegi
Impatto: Questa vulnerabilità interessa Android 8.x, 9.0 e le prime versioni di 10, consentendo potenzialmente l'escalation locale dei privilegi a root.
Ulteriori Letture:
- Rapporto originale su Project Zero
- Patch nel kernel Android

TODO

Questo laboratorio è in fase di sviluppo. Ecco i miglioramenti previsti:

Miglioramenti a Breve Termine

Correggere la configurazione di Syzkaller per indirizzare correttamente le syscall specifiche di Android
Risolvere questo problema di Syzkaller

[    3.030651] clocksource: tsc: mask: 0xffffffffffffffff max_cycles: 0x2868278d270, max_idle_ns: 440795290098 ns
[    4.040338] clocksource: Switched to clocksource tsc
2025/03/24 21:04:23 running ssh: []string{"-p", "13199", "-F", "/dev/null", "-o", "UserKnownHostsFile=/dev/null", "-o", "IdentitiesOnly=yes", "-o", "BatchMode=yes", "-o", "StrictHostKeyChecking=no", "-o", "ConnectTimeout=10", "-i", "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa", "-v", "root@localhost", "pwd"}
2025/03/24 21:04:33 ssh failed: failed to run ["ssh" "-p" "13199" "-F" "/dev/null" "-o" "UserKnownHostsFile=/dev/null" "-o" "IdentitiesOnly=yes" "-o" "BatchMode=yes" "-o" "StrictHostKeyChecking=no" "-o" "ConnectTimeout=10" "-i" "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa" "-v" "root@localhost" "pwd"]: exit status 255
OpenSSH_9.9p2, OpenSSL 3.4.1 11 Feb 2025
debug1: Reading configuration data /dev/null
debug1: Connecting to localhost [::1] port 13199.
debug1: connect to address ::1 port 13199: Connection refused
debug1: Connecting to localhost [127.0.0.1] port 13199.
debug1: fd 3 clearing O_NONBLOCK
debug1: Connection established.
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa type 0
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa-cert type -1
debug1: Local version string SSH-2.0-OpenSSH_9.9
Connection timed out during banner exchange
Connection to 127.0.0.1 port 13199 timed out

Aggiungere istruzioni dettagliate per analizzare i report di crash
Includere un template di exploit semplice per CVE-2019-2215
Documentare le impostazioni corrette del kernel per la compatibilità di avvio della VM QEMU

Miglioramenti Futuri

Aggiungere supporto per altre vulnerabilità del kernel Android
Creare un container Docker per una configurazione più semplice
Aggiungere guide di debug più complete con esempi GDB
Implementare una guida passo-passo per sviluppare un exploit completo di escalation dei privilegi
Supporto per l'architettura ARM64 oltre a x86_64

Problemi Noti

[    3.030651] clocksource: tsc: mask: 0xffffffffffffffff max_cycles: 0x2868278d270, max_idle_ns: 440795290098 ns
[    4.040338] clocksource: Switched to clocksource tsc
2025/03/24 21:04:23 running ssh: []string{"-p", "13199", "-F", "/dev/null", "-o", "UserKnownHostsFile=/dev/null", "-o", "IdentitiesOnly=yes", "-o", "BatchMode=yes", "-o", "StrictHostKeyChecking=no", "-o", "ConnectTimeout=10", "-i", "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa", "-v", "root@localhost", "pwd"}
2025/03/24 21:04:33 ssh failed: failed to run ["ssh" "-p" "13199" "-F" "/dev/null" "-o" "UserKnownHostsFile=/dev/null" "-o" "IdentitiesOnly=yes" "-o" "BatchMode=yes" "-o" "StrictHostKeyChecking=no" "-o" "ConnectTimeout=10" "-i" "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa" "-v" "root@localhost" "pwd"]: exit status 255
OpenSSH_9.9p2, OpenSSL 3.4.1 11 Feb 2025
debug1: Reading configuration data /dev/null
debug1: Connecting to localhost [::1] port 13199.
debug1: connect to address ::1 port 13199: Connection refused
debug1: Connecting to localhost [127.0.0.1] port 13199.
debug1: fd 3 clearing O_NONBLOCK
debug1: Connection established.
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa type 0
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa-cert type -1
debug1: Local version string SSH-2.0-OpenSSH_9.9
Connection timed out during banner exchange
Connection to 127.0.0.1 port 13199 timed out

Contributi della Comunità

Se sei interessato a contribuire a questo progetto, considera di affrontare uno qualsiasi degli elementi sopra o invia le tue idee tramite una pull request.

Aiuto Richiesto

In particolare, cerchiamo aiuto con:

Risolvere i problemi noti
Migliorare la configurazione QEMU per una migliore compatibilità con il kernel Android
Creare un setup di fuzzing affidabile che funzioni su diverse distribuzioni Linux

Se hai esperienza in queste aree, i tuoi contributi sarebbero molto apprezzati!

Più Popolari

android-kernel-exploitation-lab