supersonic/cve-2022-20494App di exploit per CVE-2022-20494, una vulnerabilità permanente di denial-of-service ad alta gravità che sfrutta la funzione DND di Android (Non disturbare)
Questa app dimostra una vulnerabilità di negazione del servizio permanente ad alta gravità in NotificationManagerService di Android che ho scoperto. Dopo aver eseguito l'exploit, il dispositivo mostra una schermata nera o continuerà a crashare e riavviarsi ripetutamente.
Sfrutta l'API addAutomaticZenRule per esaurire la memoria del dispositivo, creando regole zen dannose (ovvero regole di non disturbare) che occupano una grande quantità di memoria. L'app ti consente di controllare la dimensione e il numero di regole aggiunte: la quantità predefinita dovrebbe funzionare in quasi tutti i dispositivi.
L'app ha come target API 24 (Android 7.0 Nougat) ma potrebbe non funzionare su dispositivi precedenti ad Android Q, a causa di modifiche alla struttura delle regole zen. Richiede anche il permesso a livello pericoloso ACCESS_NOTIFICATION_POLICY per funzionare; l'app lo richiederà all'avvio.
La vulnerabilità è stata corretta – insieme a molti altri bug nello stesso sottosistema – nel Bollettino sulla sicurezza di Android di gennaio 2023 tramite il taglio di stringhe lunghe all'interno dei costruttori di AutomaticZenRule (sia i costruttori normali che quelli relativi alla serializzazione per parcel).
Se hai accesso ADB, i dispositivi bloccati a causa di questo bug possono potenzialmente essere recuperati eseguendo il seguente comando ADB.
adb uninstall me.sithi.cve_2022_20494
Nota che questo progetto è fornito solo a scopo educativo; per favore non usarlo per attività dannose.