CVE-2024-23700 - Android Companion Device 권한 상승 PoC

이 프로젝트는 Android의 Companion Device 메커니즘과 관련된 권한 상승 취약점인 CVE-2024-23700을 시연합니다. PoC는 취약한 환경에서 앱이 일반적인 권한 부여 상호 작용을 거치지 않고 일부 민감한 권한을 얻기 위해 Companion Device 연결 흐름을 악용할 수 있음을 보여줍니다.

이 저장소의 문서와 소스 코드는 학습, 보안 분석 및 허가된 환경에서의 테스트 목적으로만 사용됩니다. 합법적인 테스트 범위에 속하지 않는 장치, 계정 또는 데이터에는 사용하지 마십시오.

프로젝트 정보

과목: 모바일 기기 보안

수행 팀: 4명의 팀원으로 구성된 팀이 수행했습니다.

이 프로젝트를 연구하고 완성하는 과정에서 팀은 다음 작업을 수행했습니다:

• Companion Device Manager 메커니즘과 기기 프로필을 통해 부여되는 권한 그룹을 이해합니다.
• CVE-2024-23700의 PoC와 장치가 영향을 받을 수 있는 조건을 분석합니다.
• 권한 부여 동작을 시뮬레이션하고, 민감한 데이터를 읽고, 실험실 환경에서 결과를 기록하기 위해 샘플 Android 앱을 재구축합니다.
• 메모 앱 인터페이스, 알림 리스너를 추가하고 수집된 데이터를 내부 테스트 서버에 전송하여 획득한 데이터를 관찰합니다.

개요

이 프로젝트는 간단한 메모 앱(My Notes)으로 위장한 Android 앱을 구현합니다. 실행 시 앱은 Companion Device 프로필과 함께 CompanionDeviceManager.associate()를 호출하여 CVE-2024-23700을 통한 권한 탈취 과정을 시뮬레이션합니다. 장치 또는 ROM이 취약한 조건을 충족하면 앱은 추가 민감 권한을 얻고 연락처, SMS, 통화 기록, 캘린더, 알림 및 일부 장치 정보와 같은 데이터에 액세스할 수 있습니다.

PoC의 주요 작동 흐름:

1. 메모 앱 초기화: 테스트 동작을 숨기기 위해 메모 입력 및 저장 인터페이스를 표시합니다.
2. Companion Device Manager 호출: 시계 프로필과 함께 companion 장치 연결 요청을 생성합니다.
3. 연결 활동 처리: CompanionAssociationActivity 구성 요소가 장치 연결 승인 응답을 시뮬레이션합니다.
4. 권한 확인 및 데이터 수집: 권한이 부여되면 앱이 해당 콘텐츠 제공자로부터 테스트 데이터를 읽습니다.
5. 결과 기록: 데이터는 JSON으로 패키징되어 분석을 위해 실험실 엔드포인트로 전송됩니다.

CVE 정보

취약점 코드: CVE-2024-23700
Android 심각도: Critical
관련 구성 요소: Android Companion Device Manager
참조 패치: Android Wear Security Bulletin 2024-05-01
참조 패치 커밋: AOSP frameworks/base patch

PoC의 원본 README에 따르면, 대부분의 일반 Android 기기는 영향을 받지 않지만 다음과 같은 경우는 예외입니다:

• 보안 패치 날짜가 2024-05-01 이전인 WearOS 기기.
• com.android.companiondevicemanager 구성 요소를 제거했거나 손상시킨 ROM.
• 서명 확인 메커니즘이 비활성화되었거나 타사 모듈에 의해 변경된 기기.

PoC APK를 기기에 설치할 수 없는 경우, 기기가 이 취약점의 영향을 받는 조건을 충족하지 않는다는 신호일 수 있습니다.

디렉터리 구조

CVE-2024-23700/
├── app/
│   ├── build.gradle - Cấu hình module Android application
│   ├── proguard-rules.pro - Quy tắc ProGuard cho module app
│   └── src/main/
│       ├── AndroidManifest.xml - Khai báo quyền, activity và notification listener
│       ├── java/
│       │   ├── com/android/companiondevicemanager/
│       │   │   └── CompanionAssociationActivity.java - Activity xử lý luồng association
│       │   └── com/vsoft/mynotes/
│       │       ├── MainActivity.java - Logic chính của ứng dụng PoC
│       │       └── NotificationListener.java - Dịch vụ lắng nghe thông báo
│       └── res/
│           ├── drawable/ - Tài nguyên drawable của ứng dụng
│           ├── drawable-v24/ - Tài nguyên drawable cho API 24+
│           ├── layout/main.xml - Giao diện ứng dụng ghi chú
│           ├── mipmap-*/ - Icon ứng dụng theo từng mật độ màn hình
│           └── values/ - Chuỗi và theme ứng dụng
├── gradle/wrapper/ - Gradle wrapper jar và cấu hình wrapper
├── .gitignore - Quy tắc loại trừ file local, build output, log và script phụ trợ
├── build.gradle - Cấu hình Gradle cấp project
├── gradle.properties - Thiết lập Gradle của project
├── gradlew - Script chạy Gradle trên Linux/macOS
├── gradlew.bat - Script chạy Gradle trên Windows
├── settings.gradle - Khai báo project và module
└── README.md

주요 구성 요소

테스트된 권한 그룹

앱의 매니페스트는 취약한 환경에서 취약점의 영향을 확인하기 위해 여러 권한 그룹을 선언합니다:

• 컴패니언 프로필: REQUEST_COMPANION_PROFILE_WATCH, REQUEST_COMPANION_PROFILE_GLASSES
• 백그라운드 제한: REQUEST_COMPANION_RUN_IN_BACKGROUND, REQUEST_COMPANION_USE_DATA_IN_BACKGROUND
• 연락처: READ_CONTACTS, WRITE_CONTACTS, GET_ACCOUNTS
• SMS: READ_SMS, SEND_SMS, RECEIVE_SMS, RECEIVE_MMS, RECEIVE_WAP_PUSH
• 통화: READ_PHONE_STATE, , , ,

관찰 가능한 데이터 형식

실험실 서버로 전송되는 데이터는 JSON 형식으로 패키징됩니다. 주요 데이터 그룹은 다음과 같습니다:

• device_info: 장치 정보, Android 버전, 장치 이름, Android ID, IP, 설치된 앱, 계정, SIM, Wi-Fi, 배터리, RAM 및 여유 공간.
• c_cache: 테스트 환경에서 읽은 연락처 데이터.
• l_cache: 통화 기록.
• s_cache: SMS.
• cal_cache: 캘린더 이벤트.
• gps_cache: 사용자가 위치 권한을 부여한 경우 가장 최근 위치.
• n_cache: NotificationListener가 기록한 기존 알림 또는 새 알림.
• n_active: 알림 리스너의 활성 상태.

참고 사항

• 테스트가 허용된 장치, 계정 및 데이터에서만 PoC를 실행하십시오.
• 개인 정보 유출을 방지하기 위해 가짜 데이터 또는 전용 실험실 장치를 사용하는 것이 좋습니다.
• MainActivity.java의 데이터 수신 엔드포인트는 테스터가 제어하는 내부 엔드포인트로 교체해야 합니다.
• 엔드포인트, 로그 및 민감한 테스트 데이터를 제거하지 않은 상태로 미리 빌드된 APK를 공개해서는 안 됩니다.
• 패치된 장치에서는 연결 흐름 또는 APK 설치가 실패할 수 있습니다. 이는 예상된 결과입니다.