Лаборатория перехвата неявных Intent CVE-2023-31014

Образовательная Android-лаборатория, созданная на основе публичного отчёта об уязвимости CVE-2023-31014 в NVIDIA GeForce NOW для Android. Не содержит исходный код NVIDIA, реальные строки Action и реальные учётные данные.

Факты из публичного отчёта

• Объект: приложение NVIDIA GeForce NOW для Android mobile/TV
• Затронутые версии: 6.00.32705137 – 6.04.33108832
• Исправленная версия: 6.05.33200069
• Классификация: CWE-927, использование неявного Intent для чувствительной коммуникации
• Уязвимая структура: компонент Game Launcher отправляет неявный Intent для компонента Streamer, и вредоносное приложение на том же устройстве может его обработать
• Заявленное воздействие: ограниченное раскрытие информации, отказ в обслуживании, возможное выполнение кода
• Автор отчёта: Oversecured

Oversecured публично упомянул следующие категории раскрытия: конфигурация потока, учётная запись пользователя, информация об игре.

Область воспроизведения в Lab

В официальных материалах фактический тип компонента не раскрыт. Поэтому в этой лаборатории используется простая для изучения модель Activity → Activity. Реальная цепочка, ведущая к выполнению кода, также не была опубликована, поэтому выполнение кода не воспроизводится.

Структура

Victim Game Launcher
        │
        │ lab.cve202331014.action.START_STREAM
        │ implicit Intent + 가상 session extras
        ▼
Android Intent Resolver
        ├── Victim Normal Streamer
        └── Attacker HijackActivity

Безопасный путь применяет к тому же Intent следующее ограничение.

intent.setClass(this, StreamerActivity.class);
startActivity(intent);

Сборка

Требования:

• JDK 17
• Android SDK 36
• Подключение к интернету или кэш Gradle/Android Gradle Plugin

./gradlew :victim:assembleDebug :attacker:assembleDebug

Создаваемые APK:

victim/build/outputs/apk/debug/victim-debug.apk
attacker/build/outputs/apk/debug/attacker-debug.apk

В dist/ также включены предварительно собранные и проверенные APK.

dist/cve-2023-31014-victim-debug.apk
dist/cve-2023-31014-attacker-debug.apk

Установка и практика

Запускайте только на эмуляторе или разрешённом тестовом устройстве.

adb install -r attacker/build/outputs/apk/debug/attacker-debug.apk
adb install -r victim/build/outputs/apk/debug/victim-debug.apk

1. Откройте CVE Lab Attacker один раз, чтобы убедиться в роли приложения-атакующего.
2. Откройте CVE Lab Victim.
3. Убедитесь, что в качестве кандидатов на обработку отображаются Normal Streamer и CVE Lab Attacker.
4. Нажмите Уязвимый запуск игры.
5. В системном окне выбора приложений Android выберите CVE Lab Attacker.
6. Убедитесь, что в приложении-атакующем отображаются вымышленные сессионные Extras, а штатный Streamer не запускается.
7. Вернитесь назад и нажмите Безопасный запуск игры.
8. Убедитесь, что Normal Streamer запускается без окна выбора приложений.

Если в окне выбора приложений вы указали приложение, используемое по умолчанию, выполните Очистить значения по умолчанию в системных настройках этого приложения и повторите упражнение.

Сравнение ключевого кода

Уязвимый вариант:

Intent intent = new Intent(ACTION_START_STREAM);
intent.putExtra(EXTRA_STREAM_CONFIG, demoConfig);
startActivity(intent); // package/component 없음

Исправленный вариант:

Intent intent = new Intent(ACTION_START_STREAM);
intent.putExtra(EXTRA_STREAM_CONFIG, demoConfig);
intent.setClass(this, StreamerActivity.class);
startActivity(intent);

Если архитектура предполагает, что Android должен выбрать один из нескольких компонентов пакета того же производителя, для блокировки внешних приложений можно использовать setPackage(). Если целевой компонент один, явное указание компонента (explicit component) понятнее.

Отличия отчёта и Lab

Следующие значения были намеренно придуманы, поскольку не публиковались:

• Action lab.cve202331014.action.START_STREAM
• Launcher/Streamer на основе Activity
• имена и значения Extras demo_*
• документационный IP-адрес 203.0.113.10

Таким образом, этот проект воспроизводит принцип уязвимости и способ её исправления для CVE, но не является реальным PoC-эксплойтом для GeForce NOW.

Справочные материалы

• NVIDIA Security Bulletin: https://nvidia.custhelp.com/app/answers/detail/a_id/5476
• NVD CVE-2023-31014: https://nvd.nist.gov/vuln/detail/CVE-2023-31014
• CWE-927: https://cwe.mitre.org/data/definitions/927.html