Then `Parcel` は [Binder を介して](https://developer.android.com/reference/android/os/IBinder#transact(int,%20android.os.Parcel,%20android.os.Parcel,%20int)) 別のプロセスに送信されます。あるいは、テスト目的で [`p.setDataPosition(0)`](https://developer.android.com/reference/android/os/Parcel#setDataPosition(int)) を呼び出して parcel を先頭位置に巻き戻し、読み取りを開始することもできます:```java
int a = p.readInt(); // a = 1
String b = p.readString(); // b = "Hello"

private WindowContainerTransaction(Parcel in) {
    in.readMap(mChanges, null /* loader */);
    in.readList(mHierarchyOps, null /* loader */);
}

@Override
public void writeToParcel(@NonNull Parcel dest, int flags) {
    dest.writeMap(mChanges);
    dest.writeList(mHierarchyOps);
}

@NonNull
public static final Creator<WindowContainerTransaction> CREATOR =
        new Creator<WindowContainerTransaction>() {
            @Override
            public WindowContainerTransaction createFromParcel(Parcel in) {
                return new WindowContainerTransaction(in);
            }
        };

上記のとおり、書き込み時には `writeToParcel()` メソッドが使用されます。そして読み取り時には `CREATOR.createFromParcel()` ファクトリメソッドが呼び出されます。`Parcelable` の実装は、`createFromParcel` が `writeToParcel` によって書き込まれたのと同じ量のデータを読み取ることを保証する責任があります。そうでない場合、その `Parcel` からの後続の読み取りはすべて、誤ったオフセットからデータを読み取ることになります。

このようなクラスは、以下の方法で `Parcel` への書き込み/読み取りが可能です:

* `obj.writeToParcel(parcel, 0)` / `obj = WindowContainerTransaction.CREATOR.createFromParcel()` を直接呼び出す。これは、クラスの型が既知である場合によく使用されます。例えば、`Parcelable` が別の `Parcelable` をフィールドとして持つ場合や、AIDL で生成されたコードで定義された RPC メソッドが `Parcelable` を引数として持つ場合などです
* `Parcel.writeParcelable`/`readParcelable` を介する方法。[`writeParcelable`](https://cs.android.com/android/platform/superproject/+/master:frameworks/base/core/java/android/os/Parcel.java;l=1909;drc=58787794eb5c879f6e39ee58c0071b36e337f8e3) は最初にクラス名を書き込み、次に `Parcelable` インターフェースの `writeToParcel` メソッドを呼び出します。[`readParcelable`](https://cs.android.com/android/platform/superproject/+/master:frameworks/base/core/java/android/os/Parcel.java;l=3282;drc=58787794eb5c879f6e39ee58c0071b36e337f8e3) は書き込まれたクラス名を読み取り、提供された `ClassLoader` または null が提供された場合は `BOOTCLASSPATH` からその名前のクラスを検索します。クラスが見つかると、その静的フィールド `CREATOR` を使用して、そのクラスの読み取りに使用されるファクトリである [`Parcelable.Creator`](https://developer.android.com/reference/android/os/Parcelable.Creator) インスタンスを取得します。`readParcelable` メソッドを使用する場合、作成されるオブジェクトの名前が同じ `Parcel` から読み取られるため、クラスパス内で利用可能な任意の `Parcelable` を読み取ることができることに注意することが重要です
* `readParcelable` は、他の多くの `Parcel` メソッドによって使用されます。例えば、上記の例で見られる `readList` は `readValue` を介して要素を読み取ります。`readValue` は `Parcel` 内でオブジェクトを転送する最も汎用的なメソッドであり、その使用方法の 1 つが `readParcelable` を介するものです。また、上記の例では、Java の型消去 (Type Erasure) により、`ArrayList<HierarchyOp> mHierarchyOps` フィールドには、ジェネリック型宣言で指定された型と互換性のあるオブジェクトだけでなく、Parcel がサポートする任意のオブジェクトを実際に含めることができます

# `writeToParcel`/`createFromParcel` の不一致

上記のとおり、`Parcelable` インターフェースの実装は、`createFromParcel` が、対応する `writeToParcel` が以前に書き込んだのと同じ量のデータを `Parcel` から読み取ることを保証する責任があります。`BOOTCLASSPATH` 内にこの契約に違反する可能性のある `Parcelable` が存在する場合、それは脆弱性を生み出します。なぜなら、以下のシナリオが可能になるからです:

1. 悪意のあるアプリが、欠陥のある `Parcelable` インスタンスと、ステップ 3 で実際に読み取られるがステップ 2 ではそのまま渡される特別に構築されたデータを含む `Bundle` または `Parcelable` を `system_server` に送信します
2. `system_server` は `Bundle` が安全であることを検証してからそれを転送するか、または `system_server` は提供された `Parcelable` を、次のパラメータで重要なデータも渡される AIDL メソッドに渡します (そのパラメータで受信したデータが変更可能な場合、セキュリティ問題が発生する可能性があります)
3. 別のアプリが `system_server` からデータを受信し、それを信頼します。しかし、欠陥のあるシリアライゼーションにより、実際に表示されるデータは `system_server` が送信しようとしたデータとは異なります

上記のステップで「または」を使用しました。これらのステップは、[2017 年に公開した任意の Activity を起動する古いエクスプロイトの亜種](https://github.com/michalbednarski/ReparcelBug) (「または」の左側) と、次のセクションで説明する新しい亜種の両方を説明しているためです。

# アプリ内での `BroadcastReceiver` の実行方法

Android SDK で利用可能な API を使用するアプリケーション開発者の観点から見ると、[`BroadcastReceiver`](https://developer.android.com/guide/components/broadcasts) の動作方法は、あるアプリケーションが [`sendBroadcast`](https://developer.android.com/reference/android/content/Context#sendBroadcast(android.content.Intent)) を呼び出し (ただし、多くの場合アプリはアプリからのブロードキャストではなくシステムからのブロードキャストを受信したいと考えています)、その後ブロードキャストされた `Intent` が `AndroidManifest.xml` で定義された `<receiver>` と照合されるというものです。これが発生すると、システムは受信アプリケーションのプロセスを開始し、`<receiver android:name>` 属性で定義された `BroadcastReceiver` サブクラスをインスタンス化して、[`onReceive`](https://developer.android.com/reference/android/content/BroadcastReceiver#onReceive(android.content.Context,%20android.content.Intent)) メソッドを呼び出します。

ブロードキャストを受信するプロセスで発生する `system_server` との通信を見てみましょう:

* アプリケーションプロセスが最初に開始されると、[`IActivityManager.attachApplication()` を呼び出します](https://cs.android.com/android/platform/superproject/+/master:frameworks/base/core/java/android/app/ActivityThread.java;l=7340;drc=f53e23b917aa0f6a6310e46a233a29b6d6226b2c)。これにより、システムがアプリケーションプロセスに何をすべきかを指示するために使用する [`IApplicationThread`](https://cs.android.com/android/platform/superproject/+/master:frameworks/base/core/java/android/app/IApplicationThread.aidl) ハンドルを渡します
* システムがアプリケーションプロセスでマニフェスト登録された `BroadcastReceiver` を実行したい場合、前のポイントで説明した `IApplicationThread` を使用して [`scheduleReceiver`](https://cs.android.com/android/platform/superproject/+/master:frameworks/base/core/java/android/app/ActivityThread.java;l=950;drc=f53e23b917aa0f6a6310e46a233a29b6d6226b2c) メソッドを呼び出します。このメソッドには複数の引数がありますが、ここで最も重要なのは最初の 2 つです:
  1. `Intent intent`。これは、`sendBroadcast()` が呼び出されたときに以前にシステムに渡されたものです
  2. `ActivityInfo info`。実行する必要があるコンポーネントに関する情報が含まれています。このパラメータの値は、システムが Package Manager Service から取得します。最も重要なのは、このパラメータで渡されるデータに、受信したブロードキャストを処理する Java クラスがロードされるファイルへのパスが含まれていることです

この時点で、この新しいエクスプロイト経路が何であるかを推測できるでしょう: `sendBroadcast()` を呼び出して、システムが `scheduleReceiver` を呼び出そうとしたときに、`scheduleReceiver` が呼び出されるアプリケーションが改ざんされた `ActivityInfo` を認識するような `Intent` を渡します。

この新しいエクスプロイト経路は Android 12 で利用可能になったことに注意してください。以前は `Intent` に任意の `Parcelable` を配置する方法がなかったためです ([Intent の extras](https://developer.android.com/reference/android/content/Intent#putExtra(java.lang.String,%20android.os.Parcelable)) は、`Bundle` に配置され、その全体の長さが Parcel に書き込まれ、[単一のブロブとして読み取られる](https://cs.android.com/android/platform/superproject/+/master:frameworks/base/core/java/android/os/BaseBundle.java;l=1671-1681;drc=5d123b67756dffcfdebdb936ab2de2b29c799321)ため、extras はそれらを含む `Intent` オブジェクトの誤解釈を引き起こすことはできないため、カウントされません)

# `writeToParcel`/`createFromParcel` の不一致のトリガー

ほとんどの場合、`writeToParcel`/`createFromParcel` の不一致は、これらのメソッドのいずれかでフィールドの 1 つが忘れられるか、2 回書き込まれるケースです。そのような場合、そのようなオブジェクトを送信すると常に不一致がトリガーされます。(これは、オブジェクトが `Parcelable` でありながら実際にはプロセス間で使用されていない場合に最も頻繁に発生します。そうでなければ、通常の使用中にすぐに気付かれるでしょう)

しかし今回はそうではなく、不一致のトリガーは明白ではありません。

脆弱なクラスを見てみましょう ([オリジナルはここにありました](https://cs.android.com/android/platform/superproject/+/master:frameworks/base/core/java/android/hardware/camera2/params/OutputConfiguration.java;drc=46c390a1c695e2dc458cb889e40559f259f60aed)、`// New in Android 12` とマークされた行は、執筆時点で AOSP に存在しなかったため手動で追加されました) ([脆弱性を最初に導入したコミットはここにあります](https://android.googlesource.com/platform/frameworks/base/+/a69b1bc58b0838e06deefb190e226774a34671e6%5E%21/#F10)、ただしこれは Android 12 のリリース後に公開されました)```java
package android.hardware.camera2.params;

public final class OutputConfiguration implements Parcelable {
    private OutputConfiguration(@NonNull Parcel source) {
        int rotation = source.readInt();
        int surfaceSetId = source.readInt();
        int surfaceType = source.readInt();
        int width = source.readInt();
        int height = source.readInt();
        boolean isDeferred = source.readInt() == 1;
        boolean isShared = source.readInt() == 1;
        ArrayList<Surface> surfaces = new ArrayList<Surface>();
        source.readTypedList(surfaces, Surface.CREATOR);
        String physicalCameraId = source.readString();
        boolean isMultiResolution = source.readInt() == 1; // New in Android 12
        ArrayList<Integer> sensorPixelModesUsed = new ArrayList<Integer>(); // New in Android 12
        source.readList(sensorPixelModesUsed, Integer.class.getClassLoader()); // New in Android 12

		// SNIP: copy values from variables set above to fields of this class
    }

    public static final @android.annotation.NonNull Parcelable.Creator<OutputConfiguration> CREATOR =
            new Parcelable.Creator<OutputConfiguration>() {
        @Override
        public OutputConfiguration createFromParcel(Parcel source) {
            try {
                OutputConfiguration outputConfiguration = new OutputConfiguration(source);
                return outputConfiguration;
            } catch (Exception e) {
                Log.e(TAG, "Exception creating OutputConfiguration from parcel", e);
                return null;
            }
        }

        @Override
        public OutputConfiguration[] newArray(int size) {
            return new OutputConfiguration[size];
        }
    };

    @Override
    public void writeToParcel(Parcel dest, int flags) {
        if (dest == null) {
            throw new IllegalArgumentException("dest must not be null");
        }
        dest.writeInt(mRotation);
        dest.writeInt(mSurfaceGroupId);
        dest.writeInt(mSurfaceType);
        dest.writeInt(mConfiguredSize.getWidth());
        dest.writeInt(mConfiguredSize.getHeight());
        dest.writeInt(mIsDeferredConfig ? 1 : 0);
        dest.writeInt(mIsShared ? 1 : 0);
        dest.writeTypedList(mSurfaces);
        dest.writeString(mPhysicalCameraId);
        dest.writeInt(mIsMultiResolution ? 1 : 0); // New in Android 12
        dest.writeList(mSensorPixelModesUsed); // New in Android 12
    }

    private ArrayList<Surface> mSurfaces;
    private final int mRotation;
    private final int mSurfaceGroupId;
    private final int mSurfaceType;
    private final Size mConfiguredSize;
    private final int mConfiguredFormat;
    private final int mConfiguredDataspace;
    private final int mConfiguredGenerationId;
    private final boolean mIsDeferredConfig;
    private boolean mIsShared;
    private String mPhysicalCameraId;
    private boolean mIsMultiResolution; // New in Android 12
    private ArrayList<Integer> mSensorPixelModesUsed; // New in Android 12
}