ベースバンドファームウェアはAndroidコードではありません。これはSoCの無線
サブシステム上にある独立した組み込みシステムであり、独自のCPU、独自のRTOS、独自のメモリ空間を持ち、
Androidのプロセスサンドボックスの外側にあります。

### 2.2 モデムアーキテクチャ

抽出したバイナリの解析により、モデムプロセッサはリトルエンディアンモードでMIPS32とMIPS16e2
圧縮命令を実行することがわかります。MIPS16e2は、組み込みコードサイズ削減のための16ビット符号化拡張であり、
MediaTekがHelio世代ベースバンドで採用しているアプローチと一致しています。
これは、このSoCファミリに関する独立した公開ベースバンド研究によっても確認されています。

オペレーティングシステムはNucleus RTOSで、タスクスケジューリング、IPCメッセージキュー、
プールベースのメモリアロケータを提供します。カーネルとユーザーの特権分離はなく、
タスク間のメモリ保護ユニットによる強制もなく、ハードウェアのスタックガード機構もありません。

この記事のすべてのアドレスは、Ghidraでベース`0x90000000`としてロードされた仮想アドレスです。

### 2.3 緩和策（解析したビルドで確認）

| 緩和策 | 状態 | 影響 |
|---|---|---|
| ASLR | なし | ファームウェアのアドレスは静的であり、イメージから予測可能 |
| スタックカナリア | なし | `SAVE`/`RESTORE`はガード値なしで呼び出し先保存レジスタを保存する |
| NX / W^X | なし | スタックメモリは実行可能 |
| CFI | なし | 戻りアドレスはポリシーに対して検証されない |

### 2.4 解析アプローチ

3つの並行トラック：

**静的解析。** Samsungファームウェアパッケージ → CPパーティション抽出 → `md1img.img` →
Ghidra（MIPS LE 32ビット、ベース`0x90000000`）、NCC Groupの`mtk_bp`ツールセットを使用して
ファームウェアのデバッグセクションから復元したMediaTekエンジニアリングシンボルを使用。

**動的検証。** Unicorn Engine（MIPS32エミュレーション）を使用して、特定のファームウェアルーチンを
2つのフェーズに分けて単独で実行しました。フェーズ1では、ネイティブの命令ペアを通じて
チャネルコンテキストへの`si_count`のクランプされていないコピーを証明しようとしました。
フェーズ2では、実際のファームウェアバイト上で脆弱なループを実行し、ファームウェア自身の命令が
保存された戻りアドレスを破壊することを確認しました。フェーズ1を完全にネイティブで実行できなかった場合 —
CPHYディスパッチパスが必要とするRTOSサービスオブジェクト環境が再構築されなかったため —
副作用は直接モデル化され、すべての出力でそのようにラベル付けされました。

**無線側の検証。** ZMQループバックを備えたsrsRAN 4G — ソフトウェアのみでRF放射なし — により、
テストペイロードがNB-IoT PHYエンコーディングとトランスポートブロック配信を
正しく通過することを確認しました。

---

## 3. 攻撃面：NB-IoTとSIB1-NB

### 3.1 アソシエーション前の攻撃面

NB-IoT（Narrowband Internet of Things）は3GPP Release 13であり、既存のライセンス済みLTEスペクトルを使用して
制約のあるIoTデバイスを接続するように設計されています。これは、コンシューマ向けスマートフォンを
含む幅広い最新のセルラーSoCに実装されています。

RRC_IDLE中、RRC接続が確立される前に、サービスを探しているデバイスは
次のことを行います：

1. セルのタイミング信号（NPSS/NSSS）と同期する
2. NPBCH（640 ms送信ウィンドウ）でマスタ情報ブロックをデコードする
3. NPDSCH（2560 msスケジュール）からSIB1-NBをデコードする
4. SIB1-NBのスケジューリング情報を使用して追加のシステム情報ブロックを特定する

ステップ3で、モデムは認証していないエンティティからのメッセージを、接続やユーザー操作の前に処理します。
通常のセル選択条件を満たす不正な送信機は処理されます。```
+------------------+                   +---------------------+
|  Rogue Base Stn  |                   |  Target UE (Modem)  |
+--------+---------+                   +----------+----------+
         |                                        |
         |   NPSS/NSSS sync                      |
         |--------------------------------------->|
         |   MIB-NB (640 ms cycle)                |
         |--------------------------------------->|
         |   SIB1-NB (malformed, si_count > 8)    |
         |--------------------------------------->|   ← vulnerability triggered
         |   [no RRC connection established]      |

CATIデバッグセクションは、`mtk_dbg_extract.py symbols` で解凍・解析され、その後
`ImportSymbolsScript.py` を介してGhidraにインポートされた。その結果、モデムスタック全体 —
ERRCレイヤ、L1チャネル管理、IPCサブシステム、およびNB-IoT BCCHハンドラチェーン —
にわたる完全な内部関数名が得られ、意味論に基づくチェーン再構築が可能になった。

この記事内のすべての関数名は、ファームウェアイメージから抽出されたMediaTek独自の組み込み
デバッグシンボルに由来する。

---

## 5. 脆弱性

### 5.1 脆弱なループ

`el1_ch_nbcch_resume_req` (`0x90213940`) は、NB-IoTブロードキャストチャネルの再開イベントを処理する。
そのMIPS16e2関数プロローグ:```asm
90213940:  save  0xE8, ra, s0-s1

実際のファームウェアバイナリのGhidra逆コンパイルから：```c
for (uVar6 = 0; uVar6 < (byte)param_2[0x40a]; uVar6 = uVar6 + 1) {
    si_type_arr[uVar6]  = /* SI type byte */;          // 1 byte/iter, base new_sp+0x78
    si_sched_arr[uVar6] = /* SI schedule halfword */;  // 2 bytes/iter, base new_sp+0x98
}

ストリームB（バイト `sb` を書き込む）は `new_sp+0x78` から始まり、108回目の反復を必要とし
RAスロットに到達する:```
new_sp + 0x78 + i = new_sp + 0xE4
i = 0xE4 - 0x78 = 108

### 5.4 ERRCビルダー — レイヤA

CPHY_CFG_REQバッファは、デコードされたSIB1-NBからERRCレイヤで構築されます。関数 `errc_chm_l1_set_bcch_si_reception` は `IPC_msg[+0x99]` を書き込みます：```c
// errc_chm_l1_set_bcch_si_reception — Layer A
// Loop bound: decoded schedulingInfoList entry count from SIB1-NB

while (bVar3 < *(byte *)(param_3 + 0x44) && (param_2 != 0)) {
    bVar3++;
    if (uVar2 != param_2) {
        *param_5 = *param_5 + 1;   // CPHY_CFG_REQ[+0x99]++ — no upper bound check
    }
}

### 5.6 3層にわたるクランプ（制限処理）の欠如

| レイヤ | 機能 | アドレス | クランプの有無 |
|---|---|---|---|
| A — ERRCビルダー | `errc_chm_l1_set_bcch_si_reception` | ERRC範囲 | **なし** |
| B — L1コピー | `el1_ch_nbcch_start` | `0x90213444` | **なし** |
| C — L1ループ | `el1_ch_nbcch_resume_req` | `0x90213940` | **なし** |

いずれかのレイヤで1回でもチェックがあれば、この連鎖は断ち切れていた。

### 5.7 根本原因

1つの不変条件（インバリアント）が破られていた：

> SIスケジューリングエントリの数は、宛先配列の容量を決して超えてはならない。

3GPPは意図されたプロトコル上の上限（8エントリ）を定めている。ファームウェアは、そのカウントがインデックスやループ上限となるすべてのレイヤにおいて、メモリ安全性の上限を強制する必要があった。脆弱性のあるビルドでは、そのカウントはSIB1-NBのブロードキャストフィールドからERRCデコーダー、CPHY_CFG_REQメッセージ、IPC境界を越えてL1タスク、チャネルコンテキストBSS、そしてスタック書き込みループへと伝搬したが、どのレイヤでもクランプされることはなかった。

---

## 6. コールチェーン — 発見に至る経緯

### 6.1 2つの経路による混乱

構造的に類似しているが異なる2つの経路が、`el1_ch_nbcch_main` に0x760バイトの構成バッファを渡すことができる：

| 経路 | ソース | `[+0x99]` の値 | 関連性 |
|---|---|---|---|
| 経路A（ERRC → L1 IPC） | ERRCがデコード済みSIB1-NBからCPHY_CFG_REQを構築 | OTA由来の `schedulingInfoList.count` | **脆弱な経路** |
| 経路B（L1内部） | `el1_ch_scs_ind_send` が内部IPCボディを構築 | ハードコードされた `1` | 脆弱ではない |

経路Bはメッセージ形式を裏付けた — バイト `+0x99` は `el1_ch_nbcch_start` が消費するSIカウントである。そのカウントは常に1にハードコードされているため、オーバーフローは発生しない。外部から影響を受け得る経路は経路Aである。

### 6.2 書き込み箇所の探索

オフセット `+0x99` に書き込む命令をファームウェアからパターン検索すると、ノイズが生じた：T1（直接 `sb`、約100ヒット）、T2（ベース分割、5ヒット）、T3（計算オフセット、0）、T4（重複する `sh`/`sw`、約465）。`msg_send6` の相互参照リストにERRCのチャネル管理機能が含まれていなかったのは、ERRCが `errc_com_send_msg` を使用しているためである。エミュレーションプローブにより、書き込みがERRC側であることが確認された：L1ディスパッチャからUnicornハーネスを実行し、バッファの `+0x99` オフセットへの書き込みを監視しても、L1側からは何も捕捉されなかった。```
[RUN] dispatcher=0x90214418  watching IPC_msg+0x99

NO writes to IPC_msg+0x99 caught from dispatcher.
Write happened before el1_ch_nbcch_main — confirmed ERRC-side.

---

## 7. 検証

この特定のSM-A145Rモデルは、通常の出荷ビルド動作では
脆弱なNB-IoTコードパスを実行しないように見えるため、直接のハードウェア再現ではなく、ハイブリッド
エミュレーションと静的解析が使用された。

**静的解析で証明された。** ファームウェアバイナリには脆弱な命令ペアが含まれている。呼び出し
チェーンは、シンボル、相互参照、逆コンパイルされた関数本体から再構築される。

**エミュレーション内でネイティブ実行された。** `el1_ch_nbcch_resume_req` 内のループは、実際の
MediaTekファームウェアのバイト列上でUnicorn Engine（MIPS32）内で実行された。ファームウェア自身の`sh`命令は
`0x90213B02` で保存済み戻りアドレススロットに書き込んだ。`RESTORE`命令は
破損した値を`$ra`にロードし、`jrc ra`が制御を移した。

**明示的にモデル化された。** `el1_ch_nbcch_start` 内の`lbu`/`sb`コピーは、完全には
ネイティブ実行できなかった。なぜなら `el1_ch_nbcch_cphy_cfg_req_
process` 内のRTOSコールバックテーブルディスパッチパスが、フラットエミュレータが提供しなかったライブなNucleusヒープオブジェクトを期待していたためである。フェーズ2の再開ハンドラ（`el1_ch_nbcch_resume_req`）はBSS常駐チャネルコンテキストからのみ読み取り、
同じディスパッチパスには該当しない。そのためフェーズ2は
同じ足場を必要とせずにネイティブ実行された。フェーズ1の副作用 — `IPC_msg[+0x99]` からの1バイトが
`ch_ctx[+0x40A]` に書き込まれる — は直接モデル化され、`[PHASE1-MODEL]` とラベル付けされた。

**主張しない。** 完全なエンドツーエンドの無線（over-the-air）ハードウェア再現。

### 7.1 改ざん防止

ハーネスは1つのルールを強制した。保存済み戻りアドレススロットに証明マーカーを書き込むフックは許可されなかった。
ファームウェア以外のメモリ書き込みはすべて追跡された。```
[PROOF-W] saved_RA write: pc=0x90213b02  addr=new_sp+0xE4  value=0xbeef
[PROOF-W] saved_RA write: pc=0x90213b02  addr=new_sp+0xE6  value=0xdead
[ANTI-TAMPER] no hook wrote RA=0xDEADBEEF — firmware only
anti_tamper_fail = False

### 7.3 ZMQ配信

テストペイロードがNB-IoT PHYエンコーディングとトランスポートブロック配信を経ても損なわれないことを確認するため、srsRAN
4G（ZMQループバック、RF放射なし）が使用された。ペイロードは意図的に
非準拠のベクターであり、`schedulingInfoList` のASN.1 SIZE制約は40エントリを許可するよう緩和され、
pycrateのラウンドトリップデコードによってバイト14のカウントフィールドが確認された。```
SIB1 received
SIB2 activated
exit 0

`ch_ctx[0x40A]` はBSSセクションに存在し、モデムがリセットされるか、後続のチャネル設定によって上書きされるまで、攻撃者の値を保持します。

### 8.2 スタックフレーム```
old_sp  (= new_sp + 0xE8)
new_sp + 0xE4   saved ra
new_sp + 0xE0   saved s1
new_sp + 0xDC   saved s0
new_sp + 0x98   si_sched_arr  [34 halfwords = 68 bytes]
new_sp + 0x78   si_type_arr   [32 bytes]

### 10.4 CVE 帰属

ここで説明する脆弱性は、MediaTek が2025年1月6日に公開した CVE-2024-20154 に一致します。確認の根拠は以下のとおりです。

- 影響を受けるファームウェアファミリー (LR12A) が MediaTek のセキュリティ情報と一致する。
- 脆弱性の分類(スタックオーバーフロー、境界チェック欠如、不正基地局からの RCE、ユーザー操作不要)が CVE の説明および NVD の記録と一致する。
- パッチ適用済みファームウェアは、脆弱性が特定されたコード構造を正確に削除している。
- パッチ ID MOLY00720348 が MediaTek のセキュリティ情報および Android セキュリティ情報 (A-376809176) から確認される。
- AI 支援による解析は、手動での確認前に、再構築されたパターンを独立して CVE-2024-20154 に照合した。

---

## 11. 倫理と責任ある開示

### 11.1 この投稿に含まれないもの

兵器化されたエクスプロイトは含まれません。ファームウェアバイナリの内容も含まれません。不正なペイロードバイトも含まれません。実機に対して脆弱性を発動させる手順書も含まれません。動作する攻撃を再現するために必要な情報(特定のモデムデコーダ向けの完全なペイロード構築、完全な Phase 1 エミュレーションのための RTOS ヒープオブジェクトの足場、無線のオーバー・ジ・エア構成)は、意図的に省かれています。

### 11.2 ZMQ ループバックとエミュレーションが倫理的なアプローチである理由

ZMQ ループバックは、電波として信号が一切送信されていないことを意味します。実機は標的にされていません。キャリアネットワークも関与していません。この実証は、解析者が所有するハードウェア上の隔離されたソフトウェア環境でのみ実行されます。これは、関連付け前の無線脆弱性を検証するための正しいアプローチです。不正なブロードキャストを送信すると、電波範囲内のすべてのデバイスに影響を及ぼすからです。

Unicorn エミュレーションは、脆弱な動作がファームウェアバイナリ自体に存在し、特定のデバイス状態や無線環境に依存せずに再現可能であることを示します。これは単一のハードウェアクラッシュよりも技術的に強力な主張であり、電波として何かを展開することも回避します。

### 11.3 MediaTek の知的財産

すべての解析は、一般消費者向けデバイスおよび Samsung が公開しているファームウェアパッケージから正当に入手したファームウェアに対して実施されました。プロプライエタリな文書は使用されていません。MediaTek 内部の構造体定義と IPC メッセージ形式は、メモリ安全性の障害を説明するために必要な範囲でのみ記述されています。これらは仕様として公開されるものではありません。

---