Исследовательский PoC для ContactsProvider (CVE-2026-0075)

Контролируемый лабораторный исследовательский прототип Android для оценки наблюдаемого поведения, связанного с CVE-2026-0075 в ContactsProvider2.

Обзор

CVE-2026-0075 — это локальная проблема Android, связанная с повышением привилегий в ContactsProvider2. В публичном уведомлении описывается возможный путь доступа к базе данных контактов через SQL-инъекцию без взаимодействия с пользователем. Android классифицирует проблему как High и указывает Android 14, 15, 16 и 16-qpr2 в качестве затронутых версий AOSP. Устройства с уровнем патча безопасности 2026-06-05 или более поздним устраняют проблемы июньского бюллетеня 2026 года.

Включённое приложение — это автономный Java/Android PoC, который намеренно не объявляет ни READ_CONTACTS, ни WRITE_CONTACTS. Оно предназначено для того, чтобы помочь авторизованным исследователям сравнивать поведение границ разрешений и обработку исключений на контролируемых сборках.

Область применения и безопасность

Этот репозиторий предназначен только для авторизованных исследований безопасности.

• Используйте одноразовый эмулятор или лабораторное устройство, которым вы владеете или на тестирование которого у вас есть явное разрешение.
• Заполняйте целевое устройство только синтетическими контактными данными.
• Не используйте PoC против рабочих устройств, сторонних устройств или реальных баз контактов.
• Считайте результаты привязанными к конкретной сборке. Успешное наблюдение на одном образе не является доказательством того, что каждое устройство на той же версии Android уязвимо.

Проект не претендует на универсальный путь эксплуатации. В нём фиксируется контролируемое наблюдение, которое должно быть проверено на целевой сборке, её уровне патча и реализации ContactsProvider.

Структура репозитория

.
├── no-permission-probe/       Standalone Android application and PowerShell helpers
│   ├── build.ps1              Compiles, packages, aligns, and signs a debug APK
│   ├── run-poc.ps1            Installs the APK and starts the controlled probe
│   ├── AndroidManifest.xml    No READ_CONTACTS or WRITE_CONTACTS declaration
│   ├── res/                   Android resources
│   └── src/                   Application source
├── CONTRIBUTING.md            Contribution and research-data requirements
├── SECURITY.md                Vulnerability reporting guidance
└── .gitignore                 Local build and IDE exclusions

Технический контекст

Публичное исправление AOSP bb9f36b3ff6d42136afb61d527e1e8f67242fe32 называется Fix side channel attacks in CP2. Оно изменяет ContactsProvider2, чтобы удалять сообщения SQLiteException, связанные с JSON, для вызывающих сторон без READ_CONTACTS, и включает материализацию курсора в путь обработки исключений. Этот PoC предназначен для контролируемого сравнения поведения до и после; он не заменяет проверку патча.

Предварительные требования

• Windows с PowerShell 5.1 или PowerShell 7+
• JDK с javac, jar и keytool, доступными в PATH
• Android SDK Platform android-35
• Android SDK Build-Tools 36.0.0
• Android Platform Tools (adb)
• Авторизованный эмулятор или тестовое устройство, заполненное только синтетическими контактами

Установите ANDROID_HOME в корневую папку SDK перед сборкой. ANDROID_SDK_ROOT также может использоваться вашими локальными инструментами, но предоставленные скрипты читают ANDROID_HOME.

$env:ANDROID_HOME = 'C:\Android\Sdk'

Сборка

Из корня репозитория:

Set-Location .\no-permission-probe
.\build.ps1

Подписанный отладочный APK записывается в no-permission-probe\build\probe.apk. Каталог build исключён из системы контроля версий.

Контролируемый лабораторный запуск

1. Запустите авторизованный эмулятор или тестовое устройство, содержащее только синтетические контакты.

2. Подтвердите устройство и уровень патча:

   root@kitploit:~

   adb devices
   adb shell getprop ro.build.version.security_patch
   

3. Соберите приложение, затем выполните:

   root@kitploit:~

   Set-Location .\no-permission-probe
   .\run-poc.ps1
   

4. Просматривайте только интерфейс приложения и целевой тег журнала:

   root@kitploit:~

   adb logcat -s CVE20260075Probe:I
   

Вспомогательный скрипт запуска выбирает конкретный URI data/<id> на подключённом тестовом устройстве и запускает активность с разрешением на чтение. Не используйте его там, где такое поведение явно не разрешено.

Рекомендации по проверке

Для получения обоснованного результата фиксируйте следующее при каждом запуске:

• Модель устройства или образ эмулятора, версия Android, отпечаток сборки и уровень патча безопасности
• Точное ограниченное разрешение на URI, использованное в тесте
• Подтверждение того, что присутствовали только синтетические контакты
• Возвращает ли вызов результат, санитизированное исключение, несанитизированное исключение или отказ в разрешении
• Момент возникновения исключения: вызов провайдера или потребление курсора

Сравните заведомо уязвимый лабораторный образ с образом, содержащим июньское исправление 2026 года. Ожидаемый сигнал об устранении уязвимости состоит в том, что подходящие ошибки SQLite, связанные с JSON, возвращаемые вызывающим сторонам без READ_CONTACTS, заменяются общим сообщением; само по себе это не доказывает отсутствие любого наблюдаемого оракула.

Статус безопасности

Эта CVE была публично раскрыта и устранена в июньском бюллетене безопасности Android 2026 года. О текущих уязвимостях продуктов Android сообщайте напрямую через процесс Android Security. См. SECURITY.md для конкретных рекомендаций по репозиторию.

Ссылки

• Бюллетень безопасности Android — июнь 2026
• Исправление AOSP: bb9f36b3ff6d42136afb61d527e1e8f67242fe32
• NVD: CVE-2026-0075

Лицензия

Распространяется по лицензии Apache License 2.0.