Лаборатория эксплуатации ядра Android

Эта лаборатория проведет вас через настройку окружения для исследования CVE-2019-2215, критической уязвимости ядра Android в подсистеме binder.

Документация

Технические детали: CVE-2019-2215

Эта уязвимость представляет собой use-after-free в драйвере binder Android со следующими характеристиками:

Корневая причина: Когда файловый дескриптор binder добавляется к экземпляру epoll, а затем поток завершается, объект binder_thread освобождается, оставаясь доступным через epoll.
Путь эксплуатации:
- Добавьте файловый дескриптор binder к экземпляру epoll
- Вызовите ioctl BINDER_THREAD_EXIT, который освобождает binder_thread
- Получите доступ к освобождённому binder_thread через epoll
- Это приводит к состоянию use-after-free, пригодному для повышения привилегий
Воздействие: Эта уязвимость затрагивает Android 8.x, 9.0 и ранние версии 10, потенциально позволяя локальное повышение привилегий до root.
Дополнительное чтение:
- Оригинальный отчет на Project Zero
- Патч в ядре Android

TODO

Эта лаборатория находится в разработке. Вот запланированные улучшения:

Краткосрочные улучшения

Исправить конфигурацию Syzkaller для корректного нацеливания на Android-специфичные системные вызовы
Исправить эту проблему Syzkaller

[    3.030651] clocksource: tsc: mask: 0xffffffffffffffff max_cycles: 0x2868278d270, max_idle_ns: 440795290098 ns
[    4.040338] clocksource: Switched to clocksource tsc
2025/03/24 21:04:23 running ssh: []string{"-p", "13199", "-F", "/dev/null", "-o", "UserKnownHostsFile=/dev/null", "-o", "IdentitiesOnly=yes", "-o", "BatchMode=yes", "-o", "StrictHostKeyChecking=no", "-o", "ConnectTimeout=10", "-i", "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa", "-v", "root@localhost", "pwd"}
2025/03/24 21:04:33 ssh failed: failed to run ["ssh" "-p" "13199" "-F" "/dev/null" "-o" "UserKnownHostsFile=/dev/null" "-o" "IdentitiesOnly=yes" "-o" "BatchMode=yes" "-o" "StrictHostKeyChecking=no" "-o" "ConnectTimeout=10" "-i" "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa" "-v" "root@localhost" "pwd"]: exit status 255
OpenSSH_9.9p2, OpenSSL 3.4.1 11 Feb 2025
debug1: Reading configuration data /dev/null
debug1: Connecting to localhost [::1] port 13199.
debug1: connect to address ::1 port 13199: Connection refused
debug1: Connecting to localhost [127.0.0.1] port 13199.
debug1: fd 3 clearing O_NONBLOCK
debug1: Connection established.
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa type 0
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa-cert type -1
debug1: Local version string SSH-2.0-OpenSSH_9.9
Connection timed out during banner exchange
Connection to 127.0.0.1 port 13199 timed out

Добавить подробные инструкции для анализа отчетов об авариях
Включить простой шаблон эксплойта для CVE-2019-2215
Задокументировать правильные настройки конфигурации ядра для совместимости загрузки виртуальной машины QEMU

Будущие усовершенствования

Добавить поддержку других уязвимостей ядра Android
Создать контейнер Docker для более простой настройки
Добавить более полные руководства по отладке с примерами GDB
Реализовать пошаговое руководство по разработке полного эксплойта для повышения привилегий
Поддержка архитектуры ARM64 в дополнение к x86_64

Известные проблемы

[    3.030651] clocksource: tsc: mask: 0xffffffffffffffff max_cycles: 0x2868278d270, max_idle_ns: 440795290098 ns
[    4.040338] clocksource: Switched to clocksource tsc
2025/03/24 21:04:23 running ssh: []string{"-p", "13199", "-F", "/dev/null", "-o", "UserKnownHostsFile=/dev/null", "-o", "IdentitiesOnly=yes", "-o", "BatchMode=yes", "-o", "StrictHostKeyChecking=no", "-o", "ConnectTimeout=10", "-i", "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa", "-v", "root@localhost", "pwd"}
2025/03/24 21:04:33 ssh failed: failed to run ["ssh" "-p" "13199" "-F" "/dev/null" "-o" "UserKnownHostsFile=/dev/null" "-o" "IdentitiesOnly=yes" "-o" "BatchMode=yes" "-o" "StrictHostKeyChecking=no" "-o" "ConnectTimeout=10" "-i" "/home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa" "-v" "root@localhost" "pwd"]: exit status 255
OpenSSH_9.9p2, OpenSSL 3.4.1 11 Feb 2025
debug1: Reading configuration data /dev/null
debug1: Connecting to localhost [::1] port 13199.
debug1: connect to address ::1 port 13199: Connection refused
debug1: Connecting to localhost [127.0.0.1] port 13199.
debug1: fd 3 clearing O_NONBLOCK
debug1: Connection established.
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa type 0
debug1: identity file /home/0xbinder/android-kernel-exploitation-lab/bullseye.id_rsa-cert type -1
debug1: Local version string SSH-2.0-OpenSSH_9.9
Connection timed out during banner exchange
Connection to 127.0.0.1 port 13199 timed out

Вклад сообщества

Если вы заинтересованы в участии в этом проекте, пожалуйста, рассмотрите возможность решения любого из указанных выше пунктов или отправьте свои собственные идеи через pull request.

Помощь

Особенно ищем помощь с:

Исправлением известных проблем
Улучшением конфигурации QEMU для лучшей совместимости с ядром Android
Созданием надежной настройки фаззинга, работающей на разных дистрибутивах Linux

Если у вас есть опыт в этих областях, ваш вклад будет очень ценен!

Популярное

android-kernel-exploitation-lab