CVE-2019-2215 (bad binder) を Huawei P20lite (Android 8.0.0) に移植する

説明

このプロジェクトは、Android 8.0.0 を搭載した Huawei P20lite における CVE-2019-2215 のエクスプロイトです。カーネルはバージョン 4.4.23 です。

この脆弱性はおそらくこのトピックの中で最も多くドキュメント化されているもの（チュートリアル、実機への実際の移植）であり、私も影響を受ける端末を持っているため、これは Android カーネルエクスプロイトを学ぶための良い出発点になります。

警告: このエクスプロイトはすべての SELinux タイプを permissive に設定するため、他のアプリが SELinux をバイパスできる可能性があります。

まずリポジトリをクローンします :

git clone https://github.com/willboka/CVE-2019-2215-HuaweiP20Lite.git
cd CVE-2019-2215-HuaweiP20Lite

setools-android をフォルダ CVE-2019-2215-HuaweiP20Lite 内でクローンし、libsepol (libsepol.a) をコンパイルします。以下のコマンドでそれを実行します :

make libsepol

SELinux をバイパスするために必要です。

次のコマンドでプロジェクトをビルドします :

make # or do: NDK_PROJECT_PATH=. ndk-build NDK_APPLICATION_MK=./Application.mk

バイナリはフォルダ libs/arm64-v8a にあります。

以下のコマンドでビルドして /data/local/tmp にプッシュします :

make push

CLI から cve-2019-2215 バイナリを起動します（Termux と ADB でテスト済み） :

/data/local/tmp/cve-2019-2215 # from adb

再起動すると SELinux ポリシーがリセットされます。

エクスプロイトデモ - mp4

この脆弱性のエクスプロイトについて学ぶために使用したリンクです。

Project Zero bad binder explanation: 脆弱性の説明と、それを PoC で任意読み取り/書き込みプリミティブにする方法。
Android Kernel Exploitation: 脆弱性とその設定をより詳しく説明しており、デバッグに関する付加価値（GDB スクリプト、サニタイザーの使用）もあります。
Tailoring CVE-2019-2215 to Achieve Root: Linux カーネルのセキュリティ機能をバイパスする方法。

s8_2019_2215_poc: エクスプロイト移植の実例です - ここから avc キャッシュバイパスを使用していますが、一部のカーネルページを読み取るときにカーネルクラッシュが発生するため、シンボルエントリを取得するのに同じ手法は使えませんでした。その代わり、リークした task_struct（fair_sched_class）の最初の Kaslr 影響シンボルから Kaslr オフセットを推定しています。
cve2019-2215-3.18: このエクスプロイトは実際には最も近いもので、このケースでは binder_struct の wait フィールドのオフセットが 0xa8 です（彼のケースでは 0x98）。