CVE-2024-23700 - PoC повышения привилегий Android Companion Device

Проект демонстрирует CVE-2024-23700 — уязвимость повышения привилегий, связанную с механизмом Companion Device на Android. PoC показывает, что приложение может воспользоваться потоком сопряжения вспомогательного устройства для получения ряда чувствительных разрешений, минуя стандартное взаимодействие с запросом разрешений в уязвимых средах.

Документация и исходный код в этом репозитории предоставлены исключительно в образовательных целях, для анализа безопасности и тестирования в разрешённой среде. Не используйте их на устройствах, аккаунтах или данных, не входящих в сферу легального тестирования.

Информация о проекте

Тема в рамках курса: Безопасность мобильных устройств

Исполнители: Проект выполнен группой из 4 участников.

В ходе исследования и доработки этого проекта группа выполняла следующие задачи:

• Изучение механизма Companion Device Manager и групп разрешений, выдаваемых через device profile.
• Анализ PoC CVE-2024-23700 и условий, при которых устройство может быть уязвимо.
• Создание заново образцового Android-приложения для имитации выдачи разрешений, чтения чувствительных данных и фиксации результатов в лабораторной среде.
• Добавление интерфейса приложения для заметок, Notification Listener и отправка собранных данных на внутренний тестовый сервер для наблюдения за полученными данными.

Обзор

Проект реализует Android-приложение, маскирующееся под простое приложение для заметок (My Notes). При запуске приложение вызывает CompanionDeviceManager.associate() с profile вспомогательного устройства, чтобы смоделировать процесс получения привилегий через CVE-2024-23700. Если устройство или ROM удовлетворяют условиям уязвимости, приложение может получить дополнительные чувствительные разрешения и доступ к таким данным, как контакты, SMS, журнал вызовов, календарь, уведомления и некоторая информация об устройстве.

Основной поток работы PoC:

1. Запуск приложения для заметок: отображается интерфейс ввода и сохранения заметок для сокрытия тестового поведения.
2. Вызов Companion Device Manager: создаётся запрос на сопряжение вспомогательного устройства с profile часов.
3. Обработка association activity: компонент CompanionAssociationActivity имитирует ответ с одобрением сопряжения устройства.
4. Проверка разрешений и сбор данных: если разрешения выданы, приложение читает тестовые данные из соответствующих content provider.
5. Фиксация результатов: данные упаковываются в JSON и отправляются на лабораторный endpoint для последующего анализа.

Информация о CVE

Код уязвимости: CVE-2024-23700
Степень серьёзности Android: Critical
Связанный компонент: Android Companion Device Manager
Справочный патч: Android Wear Security Bulletin 2024-05-01
Справочный коммит с исправлением: AOSP frameworks/base patch

Согласно исходному README PoC, большинство обычных Android-устройств не затронуты, за исключением некоторых случаев, например:

• Устройства WearOS с патчем безопасности до 2024-05-01.
• ROM, в которых удалён или повреждён компонент com.android.companiondevicemanager.
• Устройства с отключённой или изменённой сторонним модулем проверкой подписи.

Если PoC APK не удаётся установить на устройство, это может быть признаком того, что устройство не соответствует условиям уязвимости.

Структура каталога

CVE-2024-23700/
├── app/
│   ├── build.gradle - Cấu hình module Android application
│   ├── proguard-rules.pro - Quy tắc ProGuard cho module app
│   └── src/main/
│       ├── AndroidManifest.xml - Khai báo quyền, activity và notification listener
│       ├── java/
│       │   ├── com/android/companiondevicemanager/
│       │   │   └── CompanionAssociationActivity.java - Activity xử lý luồng association
│       │   └── com/vsoft/mynotes/
│       │       ├── MainActivity.java - Logic chính của ứng dụng PoC
│       │       └── NotificationListener.java - Dịch vụ lắng nghe thông báo
│       └── res/
│           ├── drawable/ - Tài nguyên drawable của ứng dụng
│           ├── drawable-v24/ - Tài nguyên drawable cho API 24+
│           ├── layout/main.xml - Giao diện ứng dụng ghi chú
│           ├── mipmap-*/ - Icon ứng dụng theo từng mật độ màn hình
│           └── values/ - Chuỗi và theme ứng dụng
├── gradle/wrapper/ - Gradle wrapper jar và cấu hình wrapper
├── .gitignore - Quy tắc loại trừ file local, build output, log và script phụ trợ
├── build.gradle - Cấu hình Gradle cấp project
├── gradle.properties - Thiết lập Gradle của project
├── gradlew - Script chạy Gradle trên Linux/macOS
├── gradlew.bat - Script chạy Gradle trên Windows
├── settings.gradle - Khai báo project và module
└── README.md

Основные компоненты

Проверяемые группы разрешений

Манифест приложения объявляет несколько групп разрешений для проверки воздействия уязвимости в уязвимой среде:

• Companion profile: REQUEST_COMPANION_PROFILE_WATCH, REQUEST_COMPANION_PROFILE_GLASSES
• Background restriction: REQUEST_COMPANION_RUN_IN_BACKGROUND, REQUEST_COMPANION_USE_DATA_IN_BACKGROUND
• Контакты: READ_CONTACTS, WRITE_CONTACTS, GET_ACCOUNTS
• SMS: READ_SMS, SEND_SMS, RECEIVE_SMS, RECEIVE_MMS, RECEIVE_WAP_PUSH
• Звонки: READ_PHONE_STATE, , , ,

Формат наблюдаемых данных

Данные, отправляемые на лабораторный сервер, упаковываются в JSON. Основные группы данных:

• device_info: информация об устройстве, версия Android, имя устройства, Android ID, IP, установленные приложения, аккаунты, SIM, Wi-Fi, заряд батареи, RAM и свободное место.
• c_cache: данные контактов, прочитанные в тестовой среде.
• l_cache: журнал вызовов.
• s_cache: SMS.
• cal_cache: события календаря.
• gps_cache: последнее местоположение, если пользователь предоставил разрешение на доступ к геолокации.
• n_cache: текущие уведомления или новые уведомления, зафиксированные NotificationListener.
• n_active: статус активности notification listener.

Примечания

• Запускайте PoC только на устройствах, аккаунтах и данных, разрешённых для тестирования.
• Используйте поддельные данные или отдельные лабораторные устройства, чтобы избежать утечки личной информации.
• Endpoint для приёма данных в MainActivity.java необходимо заменить на внутренний endpoint, контролируемый тестировщиком.
• Не публикуйте готовый APK, если из него не удалены endpoint, логи и чувствительные тестовые данные.
• На пропатченных устройствах поток association или установка APK могут завершиться неудачей; это ожидаемый результат.