Exploit Simples para Verificação do CVE-2015-6606

Este é um exploit simples para verificar uma vulnerabilidade de injeção de código que existe no serviço de smartcard SEEK versões 3.1.0 e anteriores (CVE-2015-6606, bug interno do Google# ANDROID-22301786). A vulnerabilidade permite que pacotes de aplicações Android especialmente criados injetem código arbitrário no contexto de execução do serviço de sistema de smartcard. Este código herda todas as permissões concedidas a este serviço de sistema, que incluem permissões de assinatura-ou-sistema que normalmente não são concedidas a aplicações de terceiros.

Detalhes adicionais podem ser encontrados no nosso relatório Executing Arbitrary Code in the Context of the Smartcard System Service (ver secção de literatura abaixo).

AVISO

Está a utilizar esta aplicação por sua conta e risco. Não somos responsáveis por quaisquer danos causados por esta aplicação, utilização incorreta ou imprecisões neste manual.

LITERATURA

• CVE-2015-6606
• Google: Nexus Security Bulletin - October 2015
• M. Roland: "Executing Arbitrary Code in the Context of the Smartcard System Service," arXiv:1601.05833 [cs.CR], Computing Research Repository (CoRR), arXiv.org/corr, University of Applied Sciences Upper Austria, JR-Center u'smile, January 2016.
• M. Roland and M. Hlzl: "Open Mobile API: Accessing the UICC on Android Devices," arXiv:1601.03027 [cs.CR], Computing Research Repository (CoRR), arXiv.org/corr, University of Applied Sciences Upper Austria, JR-Center u'smile, January 2016.

License: GNU General Public License v3.0