CVE-2024-23700 - PoC di escalation dei privilegi Android Companion Device

Progetto che illustra CVE-2024-23700, una vulnerabilità di escalation dei privilegi relativa al meccanismo Companion Device su Android. Il PoC mostra come un'app possa sfruttare il flusso di associazione del dispositivo companion per ottenere alcune autorizzazioni sensibili senza passare attraverso la normale interazione di concessione dei permessi in ambienti vulnerabili.

I documenti e il codice sorgente in questo repository hanno esclusivamente scopi didattici, di analisi della sicurezza e di test in ambienti autorizzati. Non utilizzare su dispositivi, account o dati non rientranti in un ambito di test legale.

Informazioni sul progetto

Progetto per il corso: Sicurezza sui dispositivi mobili

Gruppo di lavoro: Progetto realizzato da un gruppo di 4 membri.

Durante la ricerca e il completamento di questo progetto, il gruppo ha svolto le seguenti attività:

• Studio del meccanismo Companion Device Manager e del gruppo di autorizzazioni concesse tramite il profilo del dispositivo.
• Analisi del PoC CVE-2024-23700 e delle condizioni che rendono un dispositivo potenzialmente vulnerabile.
• Ricostruzione di un'app Android di esempio per simulare il comportamento di concessione delle autorizzazioni, lettura di dati sensibili e registrazione dei risultati in ambiente lab.
• Aggiunta di un'interfaccia per appunti, un Notification Listener e l'invio dei dati raccolti a un server di test interno per osservare i dati ottenuti.

Panoramica

Il progetto implementa un'app Android che si finge una semplice applicazione per appunti (My Notes). All'avvio, l'app chiama CompanionDeviceManager.associate() con un profilo di dispositivo companion per simulare il processo di acquisizione dei privilegi tramite CVE-2024-23700. Se il dispositivo o la ROM soddisfano le condizioni di vulnerabilità, l'app può ottenere ulteriori autorizzazioni sensibili e accedere a dati come contatti, SMS, registro chiamate, calendario, notifiche e alcune informazioni del dispositivo.

Il flusso operativo principale del PoC:

1. Avvio dell'app per appunti: Mostra un'interfaccia per inserire e salvare appunti per occultare il comportamento di test.
2. Chiamata a Companion Device Manager: Crea una richiesta di associazione del dispositivo companion con un profilo orologio.
3. Gestione dell'activity di associazione: Il componente CompanionAssociationActivity simula la risposta di approvazione dell'associazione del dispositivo.
4. Verifica delle autorizzazioni e raccolta dati: Se le autorizzazioni vengono concesse, l'app legge i dati di test dai rispettivi content provider.
5. Registrazione dei risultati: I dati vengono impacchettati in JSON e inviati all'endpoint del laboratorio per l'analisi.

Informazioni CVE

Codice vulnerabilità: CVE-2024-23700
Livello di gravità Android: Critico
Componente interessato: Android Companion Device Manager
Patch di riferimento: Android Wear Security Bulletin 2024-05-01
Commit di correzione di riferimento: Patch AOSP frameworks/base

Secondo il README originale del PoC, la maggior parte dei dispositivi Android standard non è vulnerabile, tranne alcuni casi come:

• Dispositivi WearOS con patch di sicurezza antecedenti al 2024-05-01.
• ROM che hanno rimosso o danneggiato il componente com.android.companiondevicemanager.
• Dispositivi con meccanismi di controllo delle firme disabilitati o alterati da moduli di terze parti.

Se l'APK del PoC non può essere installato sul dispositivo, potrebbe essere un segno che il dispositivo non soddisfa le condizioni di vulnerabilità per questa vulnerabilità.

Struttura delle directory

CVE-2024-23700/
├── app/
│   ├── build.gradle - Configurazione del modulo applicativo Android
│   ├── proguard-rules.pro - Regole ProGuard per il modulo app
│   └── src/main/
│       ├── AndroidManifest.xml - Dichiarazione di permessi, activity e notification listener
│       ├── java/
│       │   ├── com/android/companiondevicemanager/
│       │   │   └── CompanionAssociationActivity.java - Activity che gestisce il flusso di associazione
│       │   └── com/vsoft/mynotes/
│       │       ├── MainActivity.java - Logica principale dell'app PoC
│       │       └── NotificationListener.java - Servizio di ascolto delle notifiche
│       └── res/
│           ├── drawable/ - Risorse drawable dell'app
│           ├── drawable-v24/ - Risorse drawable per API 24+
│           ├── layout/main.xml - Interfaccia dell'app per appunti
│           ├── mipmap-*/ - Icone dell'app per ogni densità di schermo
│           └── values/ - Stringhe e tema dell'app
├── gradle/wrapper/ - JAR del wrapper Gradle e configurazione del wrapper
├── .gitignore - Regole per escludere file locali, output di build, log e script ausiliari
├── build.gradle - Configurazione Gradle a livello di progetto
├── gradle.properties - Impostazioni Gradle del progetto
├── gradlew - Script per eseguire Gradle su Linux/macOS
├── gradlew.bat - Script per eseguire Gradle su Windows
├── settings.gradle - Dichiarazione del progetto e dei moduli
└── README.md

Componenti principali

Gruppi di autorizzazioni testati

Il manifest dell'app dichiara diversi gruppi di autorizzazioni per verificare l'impatto della vulnerabilità in ambienti vulnerabili:

• Profilo companion: REQUEST_COMPANION_PROFILE_WATCH, REQUEST_COMPANION_PROFILE_GLASSES
• Restrizione in background: REQUEST_COMPANION_RUN_IN_BACKGROUND, REQUEST_COMPANION_USE_DATA_IN_BACKGROUND
• Contatti: READ_CONTACTS, WRITE_CONTACTS, GET_ACCOUNTS
• SMS: READ_SMS, SEND_SMS, RECEIVE_SMS, RECEIVE_MMS, RECEIVE_WAP_PUSH
• Chiamate: READ_PHONE_STATE, , , ,

Formato dei dati osservabili

I dati inviati al server di laboratorio sono impacchettati in formato JSON. I principali gruppi di dati includono:

• device_info: informazioni sul dispositivo, versione Android, nome dispositivo, Android ID, IP, app installate, account, SIM, Wi-Fi, batteria, RAM e spazio libero.
• c_cache: dati dei contatti letti nell'ambiente di test.
• l_cache: registro delle chiamate.
• s_cache: SMS.
• cal_cache: eventi del calendario.
• gps_cache: ultima posizione nota se l'utente ha concesso il permesso di posizione.
• n_cache: notifiche esistenti o nuove notifiche registrate da NotificationListener.
• n_active: stato di attività del notification listener.

Note

• Eseguire il PoC solo su dispositivi, account e dati autorizzati per i test.
• Utilizzare dati fittizi o dispositivi di laboratorio dedicati per evitare fughe di informazioni personali.
• L'endpoint che riceve i dati in MainActivity.java deve essere sostituito con un endpoint interno controllato dal tester.
• Non rendere pubblico un APK precompilato se non sono stati rimossi endpoint, log e dati di test sensibili.
• Su dispositivi già patchati, il flusso di associazione o l'installazione dell'APK potrebbero fallire; questo è un risultato previsto.