En sikkerhetsforsker har demonstrert hvordan en Android-app uten noen tillatelser kan få root-tilgang på flaggskiptelefoner fra flere store produsenter. Angrepet omgår operativsystemets sandkasse og gir appen nesten full kontroll over enheten.
Sårbarhetene påvirker programvare og kjernedrivere som er lagt til av telefonprodusentene. Derfor sier forskeren at det underliggende problemet ikke stammer fra standardversjonen av Android.
App uten privilegier tar kontroll over flaggskiptelefoner
Lukas Maar, sikkerhetsforsker hos Calif, utviklet tre exploit-kjeder rettet mot enheter fra Samsung, Xiaomi, Oppo, OnePlus og Realme.
Han kalte forskningsprosjektet «OEMpocalypse Now». Angrepene fokuserer spesifikt på programvare utviklet av originalutstyrsprodusenter.
Maar demonstrerte teknikken på flere flaggskiptelefoner med de nyeste tilgjengelige sikkerhetsoppdateringene. De testede enhetene inkluderte Samsung Galaxy S26 Ultra, Galaxy S26 og Galaxy S23.
Han testet også angrepet på Xiaomi 17, Oppo Find X9 Ultra og OnePlus Ace 6 Ultra. Ingen av de skadelige testappene hadde deklarerte tillatelser.
Likevel kunne appene unnslippe Androids begrensninger og åpne et root-skall. Root-tilgang gir omfattende kontroll over operativsystemet og informasjonen som er lagret på enheten.
Det berørte produktspekteret kan strekke seg utover de testede telefonene. Ifølge forskeren dekker Samsungs exploit-kjeder modeller fra minst Galaxy S23 til S26-serien og nyere Galaxy Z-enheter.
Funnene gjelder også mange Xiaomi-telefoner i mellomklasse- og flaggskipsegmentet. Videre bruker nyere flaggskip fra Oppo, OnePlus og Realme relaterte sårbare komponenter.
Produsentprogramvare skaper et svakt punkt
Android OEM-sårbarhetene er ikke avhengige av én bestemt Android-versjon, brikkesett, kjerneversjon eller enhetsmodell.
I stedet retter angrepet seg mot ekstra programvarelag som produsentene installerer oppå Android. Disse plattformene inkluderer grensesnitt som One UI, HyperOS og ColorOS.
Produsentene legger også til egne systemtjenester, bakgrunnsprosesser og kjernedrivere. Disse komponentene har ofte omfattende tillatelser fordi de håndterer maskinvare og proprietære enhetsfunksjoner.
Denne privilegerte tilgangen skaper imidlertid flere angrepsveier. En svakhet i én produsentkomponent kan gjøre det mulig for en vanlig app å krysse sikkerhetsgrenser.
Maar sa at de sårbare driverne ikke så ut til å være utviklet for å håndtere kall fra en fiendtlig applikasjon. Som følge av dette manglet de beskyttelsen som kreves mot skadelige inndata.
Android-enheter med standardversjonen av operativsystemet inkluderer ikke den samme produsentspesifikke programvaren. Forskeren sa for eksempel at Pixel-telefoner ikke ville være sårbare for akkurat disse exploit-kjedene.
En angriper ville i stedet trenge en bredere sårbarhet i Android eller Linux-kjernen for å få root-tilgang på disse enhetene.
Angrepet begynner med flukt fra sandkassen
Android kjører normalt tredjepartsapper i en begrenset sandkasse kjent som untrusted_app. Dette miljøet hindrer vanlige apper i å få tilgang til sensitive systemressurser.
Slike apper skal ikke kunne kommunisere direkte med kjernedrivere. De skal heller ikke kunne komme i nærheten av root-rettigheter.
Android tilbyr imidlertid kommunikasjonsgrensesnitt mellom prosesser som gjør det mulig for apper og tjenester å utveksle informasjon.
Telefonprodusenter utvider denne angrepsflaten når de legger til proprietære apper, tjenester og bakgrunnsprosesser. Hver nye komponent kan introdusere flere kommunikasjonsgrensesnitt.
Enkelte produsenttjenester kan også åpne og kommunisere med privilegerte kjernedrivere. Derfor kan en sårbar tjeneste bli en bro mellom en app uten privilegier og kjernen.
Maar sa at én enkelt logisk feil kan gjøre det mulig for en angriper å krysse denne grensen. Eksempler inkluderer manglende kontroll av den som foretar kallet, en feilaktig eksportert komponent eller en ikke-validert filbane.
I det første angrepsstadiet utnyttet han en feil i brukerområdeprogramvare utviklet av produsenten. Denne sårbarheten flyttet den skadelige appen inn i en prosess kontrollert av telefonprodusenten.
Sårbarhet i kjernedriver gir root-tilgang
Etter å ha unnsluppet sandkassen rettet angrepet seg mot en use-after-free-sårbarhet i en OEM-spesifikk kjernedriver.
En use-after-free-sårbarhet oppstår når programvare fortsetter å referere til minne etter at systemet har frigjort det. Operativsystemet kan deretter tildele det samme minnet til en annen prosess eller et annet formål.
I dette tilfellet beholdt driveren en referanse til en minneside etter at kjernen hadde frigjort den. Den utdaterte referansen gjorde det mulig for forskeren å få tilgang til og endre kjernedata.
Ved å kombinere logikkfeilen i brukerområdet med feilen i kjernedriveren oppnådde han root-tilgang. Maar gjentok den overordnede strategien på tvers av tre store økosystemer fra Android-produsenter.
Han beskrev teknikken som svært pålitelig og bredt portabel. Den krever angivelig bare begrensede endringer mellom kjerneversjoner, produsenter, brikkesett og telefonmodeller.
Forskeren har ikke publisert proof-of-concept-kode. I stedet har han publisert flere videoer som viser angrepene mot flaggskipenheter.
Han planlegger å publisere ytterligere forskning som forklarer hver produsentspesifikke exploit-kjede mer detaljert.
Root-tilgang kan omgå Androids beskyttelse
Root-tilgang gjør det mulig for en skadelig app å omgå Androids vanlige tillatelsessystem. Den kan potensielt lese beskyttet informasjon og manipulere innstillinger som brukere normalt ikke har tilgang til.
En angriper kan også forstyrre sikkerhetskontroller, overvåke aktivitet eller opprettholde skjult tilgang til enheten.
I ekstreme tilfeller kan uautoriserte endringer i system- eller maskinvareinnstillinger på lavt nivå skade telefonen.
Disse kjernesårbarhetene er vanskelige å begrense når en angriper først når den sårbare driveren. Derfor må produsentene gjennomgå drivere som mapper kjerneeid minne til brukerområdet eller enhetens adresserom.
Utviklere må sørge for at hver mapping avsluttes før kjernen frigjør den tilknyttede minnesiden. Ellers kan en utdatert referanse fortsette å eksponere sensitive kjernedata.
0 responses to “Android OEM-sårbarheter gir apper uten privilegier root-tilgang”