ベースバンドファームウェアはAndroidコードではありません。これはSoCの無線サブシステム上にある独立した組み込みシステムであり、独自のCPU、独自のRTOS、独自のメモリ空間を持ち、Androidプロセスサンドボックスの外側に存在します。

### 2.2 モデムアーキテクチャ

抽出されたバイナリの解析により、モデムプロセッサはリトルエンディアンモードでMIPS16e2圧縮命令を備えたMIPS32を実行していることが示されています。MIPS16e2は、組み込みコードのサイズ削減のための16ビットエンコーディング拡張であり、Helio世代のベースバンドに対するMediaTekのアプローチと一致しており、このSoCファミリーに関する独立した公開ベースバンド研究によって確認されています。

オペレーティングシステムはNucleus RTOSであり、タスクスケジューリング、IPCメッセージキュー、およびプールベースのメモリアロケータを提供します。カーネル/ユーザー特権分離はなく、タスク間のメモリ保護ユニットの強制もなく、ハードウェアスタックガード機構もありません。

この記事のすべてのアドレスは、Ghidraでベース`0x90000000`としてロードされた仮想アドレスです。

### 2.3 緩和策（解析されたビルドで観測）

| 緩和策 | 状態 | 効果 |
|---|---|---|
| ASLR | なし | ファームウェアアドレスは静的で、イメージから予測可能 |
| スタックカナリア | なし | `SAVE`/`RESTORE`はガード値なしで呼び出し先保存レジスタを格納する |
| NX / W^X | なし | スタックメモリが実行可能 |
| CFI | なし | 戻りアドレスがいかなるポリシーに対しても検証されない |

### 2.4 解析アプローチ

3つの並行トラック：

**静的解析。** Samsungファームウェアパッケージ → CPパーティション抽出 → `md1img.img` → Ghidra（MIPS LE 32ビット、ベース`0x90000000`）、NCC Groupの`mtk_bp`ツールセットを使用してファームウェアデバッグセクションから復元されたMediaTekエンジニアリングシンボル付き。

**動的検証。** Unicorn Engine（MIPS32エミュレーション）を使用して、2つのフェーズにわたって特定のファームウェアルーチンを分離して実行しました。フェーズ1では、ネイティブ命令ペアを介して`si_count`のクランプされていないコピーをチャネルコンテキストに証明しようとしました。フェーズ2では、実際のファームウェアバイト上で脆弱なループを実行し、ファームウェア自身の命令が保存された戻りアドレスを破壊することを確認しました。フェーズ1が完全にネイティブで実行できなかった箇所では — CPHYディスパッチパスが必要とするRTOSサービスオブジェクト環境が再構築されなかったため — 副作用を直接モデル化し、すべての出力でそのようにラベル付けしました。

**無線側の検証。** ZMQループバックを備えたsrsRAN 4G — ソフトウェアのみ、RF放射なし — により、テストペイロードがNB-IoT PHYエンコーディングとトランスポートブロック配信を経ても存続することを確認しました。

---

## 3. 攻撃表面：NB-IoTとSIB1-NB

### 3.1 事前関連付け攻撃表面

NB-IoT（Narrowband Internet of Things）は3GPP Release 13であり、既存のライセンスLTEスペクトルを使用して制約されたIoTデバイスを接続するように設計されています。これは、消費者向けスマートフォンを含む幅広い現代のセルラーSoCに実装されています。

RRC_IDLE中、RRC接続が確立される前に、サービスを検索しているデバイスは以下を行います：

1. セルのタイミング信号（NPSS/NSSS）と同期する
2. NPBCHを介してMaster Information Blockをデコードする（640 ms送信ウィンドウ）
3. NPDSCHからSIB1-NBをデコードする（2560 msスケジュール）
4. SIB1-NBのスケジューリング情報を使用して、追加のシステム情報ブロックを特定する

ステップ3で、モデムは認証していないエンティティからのメッセージを、いかなる接続やユーザー操作の前にも処理します。通常のセル選択条件を満たす不正な送信機が処理されます。```
+------------------+                   +---------------------+
|  Rogue Base Stn  |                   |  Target UE (Modem)  |
+--------+---------+                   +----------+----------+
         |                                        |
         |   NPSS/NSSS sync                      |
         |--------------------------------------->|
         |   MIB-NB (640 ms cycle)                |
         |--------------------------------------->|
         |   SIB1-NB (malformed, si_count > 8)    |
         |--------------------------------------->|   ← vulnerability triggered
         |   [no RRC connection established]      |

CATI デバッグセクションは `mtk_dbg_extract.py symbols` で展開および解析され、その後
`ImportSymbolsScript.py` を介して Ghidra にインポートされました。その結果、モデムスタック全体
— ERRC レイヤー、L1 チャネル管理、IPC サブシステム、および NB-IoT BCCH ハンドラチェーン —
にわたって完全な内部関数名が得られ、セマンティクスに基づくチェーンの再構築が可能になりました。

この記事内のすべての関数名は、ファームウェアイメージから抽出された MediaTek 自身の
埋め込みデバッグシンボルに由来します。

---

## 5. 脆弱性

### 5.1 脆弱なループ

`el1_ch_nbcch_resume_req` (`0x90213940`) は NB-IoT ブロードキャストチャネル再開イベントを
処理します。その MIPS16e2 関数プロローグ:```asm
90213940:  save  0xE8, ra, s0-s1

実際のファームウェアバイナリのGhidra逆コンパイルより:```c
for (uVar6 = 0; uVar6 < (byte)param_2[0x40a]; uVar6 = uVar6 + 1) {
    si_type_arr[uVar6]  = /* SI type byte */;          // 1 byte/iter, base new_sp+0x78
    si_sched_arr[uVar6] = /* SI schedule halfword */;  // 2 bytes/iter, base new_sp+0x98
}

Stream B（バイト `sb` の書き込み）は `new_sp+0x78` から始まり、RA スロットに到達するにはイテレーション 108 が必要です：```
new_sp + 0x78 + i = new_sp + 0xE4
i = 0xE4 - 0x78 = 108

### 5.4 ERRCビルダー — レイヤーA

CPHY_CFG_REQバッファは、デコードされたSIB1-NBからERRCレイヤーで構築されます。関数
`errc_chm_l1_set_bcch_si_reception`は`IPC_msg[+0x99]`を書き込みます:```c
// errc_chm_l1_set_bcch_si_reception — Layer A
// Loop bound: decoded schedulingInfoList entry count from SIB1-NB

while (bVar3 < *(byte *)(param_3 + 0x44) && (param_2 != 0)) {
    bVar3++;
    if (uVar2 != param_2) {
        *param_5 = *param_5 + 1;   // CPHY_CFG_REQ[+0x99]++ — no upper bound check
    }
}

### 5.6 クランプの3層にわたる不在

| 層 | 機能 | アドレス | クランプの有無 |
|---|---|---|---|
| A — ERRCビルダー | `errc_chm_l1_set_bcch_si_reception` | ERRC範囲 | **なし** |
| B — L1コピー | `el1_ch_nbcch_start` | `0x90213444` | **なし** |
| C — L1ループ | `el1_ch_nbcch_resume_req` | `0x90213940` | **なし** |

いずれか1つの層でのチェックが1つでもあれば、この連鎖は断ち切られていたはずである。

### 5.7 根本原因

1つの不変条件が破られている：

> SIスケジューリングエントリの数は、決して宛先配列の容量を超えてはならない。

3GPPは意図されたプロトコル上の上限（8エントリ）を提供している。ファームウェアは、カウントがインデックスやループ限界となるすべての層で、メモリ安全性の上限を強制する必要があった。脆弱なビルドでは、カウントはSIB1-NBブロードキャストフィールドからERRCデコーダを通り、CPHY_CFG_REQメッセージに入り、IPC境界を越えてL1タスクに入り、チャネルコンテキストBSSに入り、スタック書き込みループに至るまで、どの層でもクランプされることなく伝播した。

---

## 6. コールチェーン — どのように発見されたか

### 6.1 2つのパスの混同

構造的に類似しているが異なる2つのパスが、0x760バイトの設定バッファを`el1_ch_nbcch_main`に届ける可能性がある：

| パス | ソース | `[+0x99]`の値 | 関連性 |
|---|---|---|---|
| パスA（ERRC → L1 IPC） | ERRCがデコードされたSIB1-NBからCPHY_CFG_REQを構築 | OTAからの`schedulingInfoList.count` | **脆弱なパス** |
| パスB（L1内部） | `el1_ch_scs_ind_send`が内部IPCボディを構築 | ハードコードされた`1` | 脆弱ではない |

パスBはメッセージフォーマットを確認した — バイト`+0x99`は`el1_ch_nbcch_start`が消費するSIカウントである。そのカウントは常に1にハードコードされているため、オーバーフローすることはできない。外部から影響を受けるパスはパスAである。

### 6.2 ライターの探索

オフセット`+0x99`に書き込む命令をファームウェアからパターン検索すると、ノイズが発生した：T1（直接`sb`、約100ヒット）、T2（分割ベース、5ヒット）、T3（計算オフセット、0）、T4（重複する`sh`/`sw`、約465）。ERRCのチャネル管理関数は`msg_send6`のクロスリファレンスリストに存在しなかった。それはERRCが`errc_com_send_msg`を使用しているためである。エミュレーションプローブにより、書き込みがERRC側であることが確認された：L1ディスパッチャからUnicornハーネスを実行し、バッファの`+0x99`オフセットへの書き込みを監視しても、L1側からは何も捕捉されなかった。```
[RUN] dispatcher=0x90214418  watching IPC_msg+0x99

NO writes to IPC_msg+0x99 caught from dispatcher.
Write happened before el1_ch_nbcch_main — confirmed ERRC-side.

---

## 7. 検証

この特定の SM-A145R モデルは、通常の出荷ビルド動作では脆弱な NB-IoT コードパスを実行しないと考えられる。そのため、直接的なハードウェア再現ではなく、ハイブリッドエミュレーションと静的解析が用いられた。

**静的に証明済み。** ファームウェアバイナリには脆弱な命令ペアが含まれている。コールチェーンはシンボル、クロスリファレンス、およびデコンパイルされた関数本体から再構築された。

**エミュレーション内でネイティブ実行済み。** `el1_ch_nbcch_resume_req` 内のループは、Unicorn Engine (MIPS32) 上で実際の MediaTek ファームウェアバイトに対して実行された。ファームウェア自身の `sh` 命令が `0x90213B02` で保存されたリターンアドレススロットに書き込んだ。`RESTORE` 命令が破損した値を `$ra` にロードし、`jrc ra` が制御を転送した。

**明示的にモデル化済み。** `el1_ch_nbcch_start` 内の `lbu`/`sb` コピーは、完全にネイティブで実行することができなかった。なぜなら `el1_ch_nbcch_cphy_cfg_req_process` 内の RTOS コールバックテーブルディスパッチパスが、フラットエミュレータが提供しないライブの Nucleus ヒープオブジェクトを期待していたためである。フェーズ 2 のレジュームハンドラ (`el1_ch_nbcch_resume_req`) は BSS 常駐のチャネルコンテキストからのみ読み取り、同じディスパッチパスに到達しない。これがフェーズ 2 が同じ足場を必要とせずネイティブで実行された理由である。フェーズ 1 の副作用 — `IPC_msg[+0x99]` から `ch_ctx[+0x40A]` への 1 バイトの書き込み — は直接モデル化され、`[PHASE1-MODEL]` とラベル付けされた。

**主張しない。** 完全なエンドツーエンドの無線ハードウェア再現。

### 7.1 耐タンパ性

ハーネスは 1 つのルールを強制した: フックが保存されたリターンアドレススロットにプルーフマーカーを書き込むことは許可されなかった。ファームウェア以外のすべてのメモリ書き込みが追跡された。```
[PROOF-W] saved_RA write: pc=0x90213b02  addr=new_sp+0xE4  value=0xbeef
[PROOF-W] saved_RA write: pc=0x90213b02  addr=new_sp+0xE6  value=0xdead
[ANTI-TAMPER] no hook wrote RA=0xDEADBEEF — firmware only
anti_tamper_fail = False

### 7.3 ZMQ配信

テストペイロードがNB-IoT PHYエンコーディングおよびトランスポートブロック配信を経ても維持されることを確認するため、ZMQループバック（RF放射なし）を備えたsrsRAN 4Gを使用した。ペイロードは意図的に非準拠のベクターであり、`schedulingInfoList`のASN.1 SIZE制約を緩和して40エントリを許可し、pycrateのラウンドトリップデコードによりバイト14のカウントフィールドを確認した。```
SIB1 received
SIB2 activated
exit 0

`ch_ctx[0x40A]` は BSS に存在し、モデムがリセットされるか、後続のチャネル設定によって上書きされるまで、攻撃者の値を保持し続けます。

### 8.2 スタックフレーム```
old_sp  (= new_sp + 0xE8)
new_sp + 0xE4   saved ra
new_sp + 0xE0   saved s1
new_sp + 0xDC   saved s0
new_sp + 0x98   si_sched_arr  [34 halfwords = 68 bytes]
new_sp + 0x78   si_type_arr   [32 bytes]

単一行の境界チェックは、同じアドレスの既存関数内に追加される数個の命令として現れるはずである。パッチ適用済みバイナリが示しているのはアーキテクチャ上の改訂である。NBCCH スケジューリングパスは再設計され、`si_count` をループ境界として使うパターンがパス内のどこにも存在しなくなった。

### 10.4 CVE の帰属

ここで説明する脆弱性は、MediaTek が 2025 年 1 月 6 日に公開した CVE-2024-20154 に一致する。確認の根拠:

- 影響を受けるファームウェアファミリ (LR12A) が MediaTek のブリテンに一致する。
- 脆弱性クラス — スタックオーバーフロー、境界チェックの欠如、悪意ある基地局からの RCE、ユーザー操作不要 — が CVE の説明および NVD レコードに一致する。
- パッチ適用済みファームウェアは、脆弱と特定されたコード構造を正確に除去している。
- パッチ ID MOLY00720348 が MediaTek のブリテンおよび Android Security Bulletin (A-376809176) から確認された。
- AI 支援による分析は、手動確認の前に、再構築されたパターンを独立に CVE-2024-20154 に一致させた。

---

## 11. 倫理と責任ある開示

### 11.1 本記事に含まれないもの

武器化されたエクスプロイトは含まれない。ファームウェアバイナリの内容は含まれない。不正なペイロードバイトは含まれない。稼働中のデバイスに対して脆弱性をトリガーするための手順は含まれない。実際に動作する攻撃を再現するために必要な情報 — 特定のモデムデコーダ向けの完全なペイロード構築、完全な Phase 1 エミュレーションのための RTOS ヒープオブジェクトの足場、無線設定 — は意図的に欠落させている。

### 11.2 ZMQ ループバックとエミュレーションが倫理的なアプローチである理由

ZMQ ループバックとは、信号が無線で送信されることが一切なかったことを意味する。実デバイスは標的にされていない。キャリアネットワークは関与していない。この実証は、アナリストが所有するハードウェア上の完全に閉じたソフトウェア環境で実行される。これは、事前関連付け段階の無線脆弱性を検証するための正しいアプローチである — 不正なブロードキャストを送信すれば、範囲内のあらゆるデバイスに影響を与えることになる。

Unicorn エミュレーションは、脆弱な挙動がファームウェアバイナリ自体に存在することを、特定のデバイス状態や無線環境に依存せず、再現可能に示す。これは単一のハードウェアクラッシュよりも技術的に強い主張であり、無線で何かを配備することを避けている。

### 11.3 MediaTek の知的財産

すべての分析は、消費者向けデバイスから正当に入手したファームウェア、および Samsung が公開リリースしたファームウェアパッケージに対して実施された。独自のドキュメントは使用していない。MediaTek の内部構造体定義および IPC メッセージフォーマットは、メモリ安全性の失敗を説明するために必要な範囲でのみ記述している。それらを仕様として公開するものではない。

---