cunninglogic/lgpwnLG Root Exploit
Exploit de root para LG
Autor: [email protected]
Agradecimentos especiais: Juggie, por apontar um binário estranho em uma atualização (spritebud), que me levou a encontrar esta vulnerabilidade.
Assunto: Condição de corrida no software de backup da Sprite Software, instalado por OEM em dispositivos LG Android.
CVE ID: CVE-2013-3685
Efeito: Vulnerabilidade explorada localmente com interação mínima do usuário do dispositivo, que resulta na execução de código como usuário root. Em circunstâncias específicas, é possível explorar esta vulnerabilidade sem o conhecimento do usuário do dispositivo.
Produtos: "Backup" "spritebud"
Fabricantes: Sprite Software LG Electronics Potencialmente outros fabricantes.
Versões afetadas: spritebud 1.3.24 backup 2.5.4105 Provavelmente outras versões também.
Dispositivos afetados (sujeitos à configuração do firmware): LG-E971 LG Optimus G LG-E973 LG Optimus G LG-E975 LG Optimus G LG-E975K LG Optimus G LG-E975T LG Optimus G LG-E976 LG Optimus G LG-E977 LG Optimus G LG-F100K LG Optimus Vu LG-F100L LG Optimus Vu LG-F100S LG Optimus Vu LG-F120K LG Optimus Vu LG-F120L LG Optimus LTE Tag LG-F120S LG Optimus LTE Tag LG-F160K LG Optimus LTE 2 LG-F160L LG Optimus LTE 2 LG-F160LV LG Optimus LTE 2 LG-F160S LG Optimus LTE 2 LG-F180K LG Optimus G LG-F180L LG Optimus G LG-F180S LG Optimus G LG-F200K LG Optimus Vu 2 LG-F200L LG Optimus Vu 2 LG-F200S LG Optimus Vu 2 LG-F240K LG Optimus G Pro LG-F240L LG Optimus G Pro LG-F240S LG Optimus G Pro LG-F260K LG Optimus LTE 3 LG-F260L LG Optimus LTE 3 LG-F260S LG Optimus LTE 3 LG-L21 LG Optimus G LG-LG870 LG (Desconhecido) LG-LS860 LG Mach LG-LS970 LG Optimus G LG-P760 LG Optimus L9 LG-P769 LG Optimus L9 LG-P780 LG Optimus L7 LG-P875 LG Optimus F5 LG-P875h LG Optimus F5 LG-P880 LG Optimus 4X HD LG-P940 LG Prada LG-SU540 LG Prada 3.0 LG-SU870 LG Optimus 3D Cube LG-US780 LG Lollipop Potencialmente outros dispositivos também.
Informações do produto:
"Backup" e "spritebud" são um sistema de backup/restauração de configurações e aplicativos escrito pela Sprite Software e implantado em smartphones LG Android. "Backup" é o aplicativo de front-end para o usuário final, e "spritebud" é o serviço que executa as funções de backup e restauração.
Detalhes:
O daemon "spritebud" é iniciado pelos scripts de init e executa como usuário root. Escutando em um socket Unix, o daemon aceita instruções do aplicativo "Backup". Usando um backup especialmente criado, podemos gravar, alterar permissões e alterar o proprietário de qualquer arquivo, já que o "spritebud" executa sob o usuário root.
O backup especialmente criado contém dados de restauração para nosso aplicativo de exploração, "com.cunninglogic.lgpwn". Os dados incluem um arquivo dummy de 50mb (a) usado para aumentar nossa janela de exploração, o binário su (b), um script (c) para instalar o su e um arquivo de texto (d) contendo o caminho para nosso script. Todos os arquivos pertencem ao aplicativo e têm permissão de leitura/escrita/execução para todos. Todos os arquivos são restaurados em ordem alfabética. O backup inteiro, após compactação, tem aproximadamente 2mb. A estrutura deste backup é a seguinte:
drwxrwxrwx u0_a114 u0_a114 2013-05-28 20:13 files
./files:
Antes da restauração, nosso aplicativo de exploração é executado, monitora o processo e aguarda. Durante a restauração, o daemon spritebud primeiro cria o diretório files e então define sua permissão e proprietário. Em seguida, ele descompacta e restaura o arquivo "a", nosso arquivo dummy de 50mb. Durante a restauração de "a", nosso aplicativo de exploração tem tempo de criar um link simbólico de "d", nosso arquivo de texto contendo o caminho completo para nosso script (c), para /sys/kernel/uevent_helper. Após a restauração do arquivo "d", nosso caminho é gravado em uevent_helper. Quando um evento hotplug ocorre (o que acontece a cada poucos segundos), o caminho contido em uevent_helper é executado pelo kernel e nosso script (c) é executado e instala o binário su (b).
