CVE-2024-23700 - Android Companion Device 権限昇格 PoC

このプロジェクトは、Android の Companion Device メカニズムに関連する権限昇格の脆弱性である CVE-2024-23700 を実証するものです。PoC は、影響を受ける環境において、アプリが通常の権限付与インタラクションを経由せずに、コンパニオン デバイスのペアリングフローを悪用して機密権限を取得できることを示しています。

このリポジトリ内のドキュメントとソースコードは、学習、セキュリティ分析、および許可された環境でのテストのみを目的としています。法的なテスト範囲外のデバイス、アカウント、データに対して使用しないでください。

プロジェクト情報

所属科目: モバイル端末のセキュリティ

実施チーム: 4名のメンバーからなるチームが本プロジェクトを実施しました。

このプロジェクトの研究と完成にあたり、チームは以下の作業を担当しました。

• Companion Device Manager の仕組みと、デバイスプロファイルを通じて付与される権限グループについて調査。
• CVE-2024-23700 の PoC と、デバイスが影響を受ける条件を分析。
• 権限付与の動作を再現し、機密データを読み取り、ラボ環境で結果を記録するサンプル Android アプリケーションを再構築。
• メモアプリの UI、Notification Listener を追加し、収集したデータを内部テストサーバーに送信して取得データを観察。

概要

このプロジェクトは、シンプルなメモアプリ（My Notes）を装った Android アプリケーションを実装しています。起動時に、CompanionDeviceManager.associate() をコンパニオン デバイスプロファイル付きで呼び出し、CVE-2024-23700 による権限取得プロセスを再現します。悪用可能な条件を満たすデバイスまたは ROM では、アプリは追加の機密権限を取得し、連絡先、SMS、通話履歴、カレンダー、通知、および一部のデバイス情報などのデータにアクセスできる可能性があります。

PoC の主な動作フロー:

1. メモアプリの起動: テスト動作を隠すため、メモの入力・保存用 UI を表示します。
2. Companion Device Manager の呼び出し: ウォッチプロファイルを使用してコンパニオン デバイスの関連付けリクエストを作成します。
3. association アクティビティの処理: CompanionAssociationActivity コンポーネントが、デバイス関連付けの承認応答を模倣します。
4. 権限の確認とデータ収集: 権限が付与された場合、アプリは対応する各 content provider からテストデータを読み取ります。
5. 結果の記録: データは JSON にパッケージ化され、分析用にラボのエンドポイントへ送信されます。

CVE 情報

脆弱性 ID: CVE-2024-23700
Android の深刻度: Critical
関連コンポーネント: Android Companion Device Manager
参考パッチ: Android Wear Security Bulletin 2024-05-01
参考パッチコミット: AOSP frameworks/base patch

PoC の元の README によると、通常の Android デバイスの大部分は影響を受けませんが、次のような一部のケースを除きます。

• 2024-05-01 より前のセキュリティパッチを適用した WearOS デバイス。
• com.android.companiondevicemanager コンポーネントを削除または破損している ROM。
• 署名検証メカニズムが無効化されているか、サードパーティ製モジュールによって変更されたデバイス。

PoC APK をデバイスにインストールできない場合、そのデバイスはこの脆弱性の影響を受ける条件を満たしていない可能性があります。

ディレクトリ構造

CVE-2024-23700/
├── app/
│   ├── build.gradle - Cấu hình module Android application
│   ├── proguard-rules.pro - Quy tắc ProGuard cho module app
│   └── src/main/
│       ├── AndroidManifest.xml - Khai báo quyền, activity và notification listener
│       ├── java/
│       │   ├── com/android/companiondevicemanager/
│       │   │   └── CompanionAssociationActivity.java - Activity xử lý luồng association
│       │   └── com/vsoft/mynotes/
│       │       ├── MainActivity.java - Logic chính của ứng dụng PoC
│       │       └── NotificationListener.java - Dịch vụ lắng nghe thông báo
│       └── res/
│           ├── drawable/ - Tài nguyên drawable của ứng dụng
│           ├── drawable-v24/ - Tài nguyên drawable cho API 24+
│           ├── layout/main.xml - Giao diện ứng dụng ghi chú
│           ├── mipmap-*/ - Icon ứng dụng theo từng mật độ màn hình
│           └── values/ - Chuỗi và theme ứng dụng
├── gradle/wrapper/ - Gradle wrapper jar và cấu hình wrapper
├── .gitignore - Quy tắc loại trừ file local, build output, log và script phụ trợ
├── build.gradle - Cấu hình Gradle cấp project
├── gradle.properties - Thiết lập Gradle của project
├── gradlew - Script chạy Gradle trên Linux/macOS
├── gradlew.bat - Script chạy Gradle trên Windows
├── settings.gradle - Khai báo project và module
└── README.md

主要コンポーネント

テストされた権限グループ

アプリのマニフェストは、影響を受ける環境における脆弱性の影響を検証するために、複数の権限グループを宣言しています。

• Companion profile: REQUEST_COMPANION_PROFILE_WATCH, REQUEST_COMPANION_PROFILE_GLASSES
• バックグラウンド制限: REQUEST_COMPANION_RUN_IN_BACKGROUND, REQUEST_COMPANION_USE_DATA_IN_BACKGROUND
• 連絡先: READ_CONTACTS, WRITE_CONTACTS, GET_ACCOUNTS
• SMS: READ_SMS, SEND_SMS, RECEIVE_SMS, RECEIVE_MMS, RECEIVE_WAP_PUSH
• 通話: READ_PHONE_STATE, , , ,

観測されるデータ形式

ラボサーバーに送信されるデータは JSON 形式でパッケージ化されます。主なデータグループは次のとおりです。

• device_info: デバイス情報、Android バージョン、デバイス名、Android ID、IP、インストール済みアプリ、アカウント、SIM、Wi-Fi、バッテリー、RAM、空き容量。
• c_cache: テスト環境で読み取られた連絡先データ。
• l_cache: 通話履歴。
• s_cache: SMS。
• cal_cache: カレンダーのイベント。
• gps_cache: 位置情報権限が付与された場合の直近の位置情報。
• n_cache: NotificationListener によって記録された既存の通知または新しい通知。
• n_active: notification listener の動作状態。

注意事項

• PoC は、テストが許可されているデバイス、アカウント、データに対してのみ実行してください。
• 個人情報の漏えいを防ぐため、ダミーデータまたは専用のラボデバイスを使用することをお勧めします。
• MainActivity.java 内のデータ受信エンドポイントは、テスト担当者が管理する内部エンドポイントに置き換える必要があります。
• エンドポイント、ログ、機密性の高いテストデータを削除するまでは、ビルド済み APK を公開しないでください。
• パッチ適用済みデバイスでは、association フローまたは APK のインストールが失敗する可能性がありますが、これは想定された結果です。