ROP с утечкой через APV — Pixel 9 / media.swcodec

Небольшой автономный исследовательский пакет для CVE-2026-0006 (переполнение кучи в декодере APV). Он демонстрирует контролируемый нативный вызов в media.swcodec, завершающийся __android_log_assert(NULL, NULL, "RCE-7F3A92C1") с nonce, видимым в реальном tombstone (Abort message: 'RCE-7F3A92C1').

Быстрый старт

Требования: Pixel 9 с root (/debug_ramdisk/su), adb, Python 3.12 с NumPy. Устройство должно использовать стоковый libobs.so (без инструментального оверлея).

scripts/build_device.sh   # installs thumb3.dex and apvscan
scripts/run.sh 12         # up to 12 fresh attempts

При успехе выводится RCE PROVATA и записывается out/APVRCE_success.txt. artifacts/tombstone_rce.txt — это зафиксированный успех из эталонного запуска.

Цепочка

Свежий media.swcodec декодирует CLEAN_MSG.mp4 (метаданные, несущие nonce).
Read-only оракул (apvscan) получает актуальные значения:
- release@448 - 0x29044 → база кодека;
- GOT[malloc] @ codec+0x2d448 → malloc@libc+0x596f0 → база libc.
gen/gen_forge.py собирает полезную нагрузку APV comb:
- release@448 = libc + 0xede9c (__libunwind_Registers_arm64_jumpto);
- PC = liblog + 0xc250 (__android_log_assert);
- x0=x1=0, x2 = address of the metadata carrying RCE-7F3A92C1`;
- SP указывает на допустимую плоскость.
Тот же демон декодирует JT_LOG.mp4. Поддельный release достигает jumpto, который восстанавливает регистры и выполняет контролируемый вызов log/assert.

Это сквозная демонстрация ROP в целевом процессе, а не доказательство только PC/SP.

Модель угроз и ограничения

Модель A: приложение декодирует специально сформированный файл, и исследователь может наблюдать вывод и адаптировать следующий этап. Это не zero-click эксплойт.
Раннер использует apvscan как read-only оракул утечки для release и двух чтений GOT. Утечка через вывод hdr10-plus-info была проверена отдельно в исследовательских заметках; раннер не утверждает, что один только файл эксфильтрирует эти значения удалённой стороне.
Доказательство — это выполнение нативного кода в media.swcodec, а не побег из песочницы или LPE ядра.
artifacts/JT_LOG.mp4 — доказательство, специфичное для указателей/раскладки. Перегенерируйте его для каждого запуска; не ожидайте, что он будет универсальным.
Надёжность зависит от раскладки. Раннер повторяет попытки со свежим демоном и сообщает о каждой неудаче, вместо того чтобы заявлять фиксированный процент успеха.

Структура

scripts/pipeline_logprint.py — утечка/оракул, генерация, атака и сбор доказательств.
scripts/build_device.sh — устанавливает runtime-файлы на устройство.
scripts/run.sh — запускает полную цепочку.
gen/ — генератор полезной нагрузки и исходники/dex Thumb3.
scanner/ — исходники apvscan и готовый бинарник arm64.
artifacts/ — эталонные MP4 и успешный tombstone.
docs/ — черновики блога на английском и итальянском плюс смещения для конкретной сборки.

Italiano (sintesi)

Пакет демонстрирует контролируемый нативный вызов в media.swcodec, а не только проверку PC/SP. Путь таков: свежий декодер → вывод адресов → jumpto → __android_log_assert с nonce RCE-7F3A92C1 в tombstone. Это не демонстрация zero-click и не побег из песочницы: это доказательство ROP в процессе кодека, с описанными выше ограничениями и моделью угроз.

Популярное

CVE-2026-0006-step-2