CVE-2026-0075 PoC di ricerca per ContactsProvider

Un prototipo di ricerca Android in ambiente controllato per valutare il comportamento osservabile associato a CVE-2026-0075 in ContactsProvider2.

Panoramica

CVE-2026-0075 è un problema Android di elevazione locale dei privilegi in ContactsProvider2. L'avviso pubblico descrive un possibile percorso di accesso al database dei contatti tramite SQL injection, senza interazione da parte dell'utente. Android classifica il problema come High e identifica Android 14, 15, 16 e 16-qpr2 come versioni AOSP interessate. I dispositivi con livello di patch di sicurezza 2026-06-05 o successivo risolvono i problemi del bollettino di giugno 2026.

L'app inclusa è un PoC Java/Android autonomo che dichiara intenzionalmente né READ_CONTACTS né WRITE_CONTACTS. Ha lo scopo di aiutare i ricercatori autorizzati a confrontare il comportamento dei confini dei permessi e la gestione delle eccezioni su build controllate.

Ambito e sicurezza

Questo repository è solo per ricerca di sicurezza autorizzata.

• Utilizzare un emulatore usa e getta o un dispositivo di laboratorio di tua proprietà o per il quale sei esplicitamente autorizzato a testare.
• Popolare il target solo con dati di contatto sintetici.
• Non utilizzare il PoC contro dispositivi di produzione, dispositivi di terze parti o database di contatti reali.
• Considera i risultati come specifici della build. Un'osservazione riuscita su un'immagine non è la prova che ogni dispositivo con la stessa versione Android sia vulnerabile.

Il progetto non rivendica un percorso di sfruttamento universale. Registra un'osservazione controllata che deve essere validata rispetto alla build target, al suo livello di patch e all'implementazione di ContactsProvider.

Struttura del repository

.
├── no-permission-probe/       Standalone Android application and PowerShell helpers
│   ├── build.ps1              Compiles, packages, aligns, and signs a debug APK
│   ├── run-poc.ps1            Installs the APK and starts the controlled probe
│   ├── AndroidManifest.xml    No READ_CONTACTS or WRITE_CONTACTS declaration
│   ├── res/                   Android resources
│   └── src/                   Application source
├── CONTRIBUTING.md            Contribution and research-data requirements
├── SECURITY.md                Vulnerability reporting guidance
└── .gitignore                 Local build and IDE exclusions

Contesto tecnico

Il fix AOSP pubblico, bb9f36b3ff6d42136afb61d527e1e8f67242fe32, è intitolato Fix side channel attacks in CP2. Modifica ContactsProvider2 per rimuovere i messaggi SQLiteException relativi a JSON per i chiamanti senza READ_CONTACTS e introduce la materializzazione del cursore nel percorso di gestione delle eccezioni. Questo PoC è progettato per un confronto controllato del comportamento prima/dopo; non sostituisce la validazione della patch.

Prerequisiti

• Windows con PowerShell 5.1 o PowerShell 7+
• JDK con javac, jar e keytool disponibili su PATH
• Android SDK Platform android-35
• Android SDK Build-Tools 36.0.0
• Android Platform Tools (adb)
• Un emulatore autorizzato o un dispositivo di test popolato solo con contatti sintetici

Imposta ANDROID_HOME sulla radice dell'SDK prima della compilazione. ANDROID_SDK_ROOT può essere utilizzato anche dai tuoi strumenti locali, ma gli script forniti leggono ANDROID_HOME.

$env:ANDROID_HOME = 'C:\Android\Sdk'

Build

Dalla radice del repository:

Set-Location .\no-permission-probe
.\build.ps1

L'APK debug firmato viene scritto in no-permission-probe\build\probe.apk. La directory build è esclusa dal controllo versione.

Esecuzione controllata in laboratorio

1. Avvia un emulatore autorizzato o un dispositivo di test contenente solo contatti sintetici.

2. Conferma il dispositivo e il livello di patch:

   root@kitploit:~

   adb devices
   adb shell getprop ro.build.version.security_patch
   

3. Compila l'app, quindi esegui:

   root@kitploit:~

   Set-Location .\no-permission-probe
   .\run-poc.ps1
   

4. Esamina solo l'interfaccia utente dell'applicazione e il tag di log con ambito:

   root@kitploit:~

   adb logcat -s CVE20260075Probe:I
   

L'helper di esecuzione seleziona un URI data/<id> esatto dal dispositivo di test connesso e avvia l'attività con una concessione di lettura. Non utilizzarlo dove tale comportamento non è esplicitamente autorizzato.

Indicazioni per la validazione

Per un risultato difendibile, cattura quanto segue a ogni esecuzione:

• Modello del dispositivo o immagine dell'emulatore, release Android, fingerprint di build e livello di patch di sicurezza
• La concessione URI limitata esatta utilizzata per il test
• Conferma che erano presenti solo contatti sintetici
• Se una chiamata produce un risultato, un'eccezione sanificata, un'eccezione non sanificata o una negazione del permesso
• Il punto in cui si verifica un'eccezione: chiamata al provider o consumo del cursore

Confronta un'immagine di laboratorio nota vulnerabile con un'immagine che contiene il fix di giugno 2026. Il segnale di remediation atteso è che gli errori SQLite qualificanti relativi a JSON restituiti ai chiamanti privi di READ_CONTACTS vengano sostituiti con un messaggio generico; questo di per sé non stabilisce l'assenza di ogni oracolo osservabile.

Stato di sicurezza

Questa CVE è stata divulgata pubblicamente e affrontata nel bollettino sulla sicurezza Android di giugno 2026. Per le vulnerabilità attuali dei prodotti Android, segnala direttamente tramite il processo Android Security. Consulta SECURITY.md per le indicazioni specifiche del repository.

Riferimenti

• Android Security Bulletin — Giugno 2026
• Fix AOSP: bb9f36b3ff6d42136afb61d527e1e8f67242fe32
• NVD: CVE-2026-0075

Licenza

Concesso in licenza secondo la Apache License 2.0.