Laboratório de Exploração do Kernel Android

Este laboratório orienta você na configuração de um ambiente para explorar o CVE-2019-2215, uma vulnerabilidade crítica do kernel Android no subsistema binder.

Documentação

• Configuração do Ambiente
• Privesc do kernel com script gdb
• Fuzzing com syzkaller
• Fuzzing com AFL++

Detalhes Técnicos: CVE-2019-2215

Esta vulnerabilidade é um use-after-free no driver binder do Android com as seguintes características:

1. Causa Raiz: Quando um fd binder é adicionado a uma instância epoll e então a thread sai, o objeto binder_thread é liberado enquanto ainda é acessível através de epoll.

2. Caminho de Exploração:

   • Adicionar um descritor de arquivo binder a uma instância epoll
   • Chamar o ioctl BINDER_THREAD_EXIT que libera o binder_thread
   • Acessar o binder_thread liberado através de epoll
   • Isso leva a uma condição de use-after-free explorável para escalação de privilégios

3. Impacto: Esta vulnerabilidade afeta Android 8.x, 9.0 e versões iniciais do 10, potencialmente permitindo escalação local de privilégios para root.

4. Leitura Adicional:

   • Relatório original no Project Zero
   • Patch no kernel Android

A FAZER

Este laboratório é um trabalho em andamento. Aqui estão as melhorias planejadas:

Melhorias de Curto Prazo

• Corrigir a configuração do Syzkaller para atingir corretamente as syscalls específicas do Android
• Corrigir este problema do Syzkaller

[    3.030651] clocksource: tsc: mask: 0xffffffffffffffff max_cycles: 0x2868278d270, max_idle_ns: 440795290098 ns
[    4.040338] clocksource: Switched to clocksource tsc
2025/03/24 21:04:23 running ssh: []string{"-p", "13199", "-F", "/dev/null", "-o", "UserKnownHostsFile=/dev/null", "-o", "IdentitiesOnly=yes", "-o", "BatchMode=yes", "-o", "StrictHostKeyChecking=no", "-o", "ConnectTimeout=10", "-i", "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa", "-v", "root@localhost", "pwd"}
2025/03/24 21:04:33 ssh failed: failed to run ["ssh" "-p" "13199" "-F" "/dev/null" "-o" "UserKnownHostsFile=/dev/null" "-o" "IdentitiesOnly=yes" "-o" "BatchMode=yes" "-o" "StrictHostKeyChecking=no" "-o" "ConnectTimeout=10" "-i" "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa" "-v" "root@localhost" "pwd"]: exit status 255
OpenSSH_9.9p2, OpenSSL 3.4.1 11 Feb 2025
debug1: Reading configuration data /dev/null
debug1: Connecting to localhost [::1] port 13199.
debug1: connect to address ::1 port 13199: Connection refused
debug1: Connecting to localhost [127.0.0.1] port 13199.
debug1: fd 3 clearing O_NONBLOCK
debug1: Connection established.
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa type 0
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa-cert type -1
debug1: Local version string SSH-2.0-OpenSSH_9.9
Connection timed out during banner exchange
Connection to 127.0.0.1 port 13199 timed out

• Adicionar instruções detalhadas para analisar relatórios de crash
• Incluir um modelo simples de exploit para CVE-2019-2215
• Documentar as configurações adequadas do kernel para compatibilidade de boot de VM QEMU

Melhorias Futuras

• Adicionar suporte para outras vulnerabilidades do kernel Android
• Criar um container Docker para configuração mais fácil
• Adicionar guias de depuração mais abrangentes com exemplos de GDB
• Implementar um guia passo a passo para desenvolver um exploit completo de escalação de privilégios
• Suporte para arquitetura ARM64 além de x86_64

Problemas Conhecidos

[    3.030651] clocksource: tsc: mask: 0xffffffffffffffff max_cycles: 0x2868278d270, max_idle_ns: 440795290098 ns
[    4.040338] clocksource: Switched to clocksource tsc
2025/03/24 21:04:23 running ssh: []string{"-p", "13199", "-F", "/dev/null", "-o", "UserKnownHostsFile=/dev/null", "-o", "IdentitiesOnly=yes", "-o", "BatchMode=yes", "-o", "StrictHostKeyChecking=no", "-o", "ConnectTimeout=10", "-i", "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa", "-v", "root@localhost", "pwd"}
2025/03/24 21:04:33 ssh failed: failed to run ["ssh" "-p" "13199" "-F" "/dev/null" "-o" "UserKnownHostsFile=/dev/null" "-o" "IdentitiesOnly=yes" "-o" "BatchMode=yes" "-o" "StrictHostKeyChecking=no" "-o" "ConnectTimeout=10" "-i" "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa" "-v" "root@localhost" "pwd"]: exit status 255
OpenSSH_9.9p2, OpenSSL 3.4.1 11 Feb 2025
debug1: Reading configuration data /dev/null
debug1: Connecting to localhost [::1] port 13199.
debug1: connect to address ::1 port 13199: Connection refused
debug1: Connecting to localhost [127.0.0.1] port 13199.
debug1: fd 3 clearing O_NONBLOCK
debug1: Connection established.
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa type 0
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa-cert type -1
debug1: Local version string SSH-2.0-OpenSSH_9.9
Connection timed out during banner exchange
Connection to 127.0.0.1 port 13199 timed out

Contribuições da Comunidade

Se você estiver interessado em contribuir para este projeto, considere abordar qualquer um dos itens acima ou envie suas próprias ideias através de um pull request.

Ajuda

especialmente procurando ajuda com:

1. Corrigir os problemas conhecidos
2. Melhorar a configuração do QEMU para melhor compatibilidade com o kernel Android
3. Criar uma configuração de fuzzing confiável que funcione em diferentes distribuições Linux

Se você tem experiência nessas áreas, suas contribuições seriam muito apreciadas!