En sikkerhedsforsker har demonstreret, hvordan en Android-app uden nogen tilladelser kan få root-adgang på flagskibstelefoner fra flere store producenter. Angrebet omgår operativsystemets sandkasse og giver appen næsten fuld kontrol over enheden.
Sårbarhederne påvirker software og kernedrivere, som telefonproducenterne har tilføjet. Derfor siger forskeren, at det underliggende problem ikke stammer fra standardversionen af Android.
App uden rettigheder overtager flagskibstelefoner
Lukas Maar, sikkerhedsforsker hos Calif, udviklede tre exploit-kæder rettet mod enheder fra Samsung, Xiaomi, Oppo, OnePlus og Realme.
Han kaldte forskningsprojektet “OEMpocalypse Now”. Angrebene fokuserer specifikt på software udviklet af originaludstyrsproducenter.
Maar demonstrerede teknikken på flere flagskibssmartphones med de seneste tilgængelige sikkerhedsopdateringer. De testede enheder omfattede Samsung Galaxy S26 Ultra, Galaxy S26 og Galaxy S23.
Han testede også angrebet på Xiaomi 17, Oppo Find X9 Ultra og OnePlus Ace 6 Ultra. Ingen af de skadelige testapps havde deklarerede tilladelser.
Alligevel kunne appsene undslippe Androids begrænsninger og åbne en root-shell. Root-adgang giver omfattende kontrol over operativsystemet og de oplysninger, der er gemt på enheden.
Det berørte produktsortiment kan strække sig ud over de testede telefoner. Ifølge forskeren dækker Samsungs exploit-kæder modeller fra mindst Galaxy S23 til S26-serien samt nyere Galaxy Z-enheder.
Resultaterne gælder også for mange Xiaomi-telefoner i mellemklasse- og flagskibssegmentet. Desuden bruger nyere flagskibsmodeller fra Oppo, OnePlus og Realme relaterede sårbare komponenter.
Producentsoftware skaber et svagt punkt
Android OEM-sårbarhederne afhænger ikke af én bestemt Android-version, chiptype, kerneversion eller enhedsmodel.
I stedet retter angrebet sig mod yderligere softwarelag, som producenterne installerer oven på Android. Disse platforme omfatter grænseflader som One UI, HyperOS og ColorOS.
Producenterne tilføjer også deres egne systemtjenester, baggrundsprocesser og kernedrivere. Disse komponenter har ofte omfattende rettigheder, fordi de håndterer hardware og proprietære enhedsfunktioner.
Denne privilegerede adgang skaber dog yderligere angrebsveje. En svaghed i én producentkomponent kan gøre det muligt for en almindelig app at krydse sikkerhedsgrænser.
Maar sagde, at de sårbare drivere ikke så ud til at være designet til at håndtere kald fra en fjendtlig applikation. Derfor manglede de den nødvendige beskyttelse mod skadelige input.
Android-enheder med standardversionen af operativsystemet indeholder ikke den samme producentspecifikke software. Forskeren sagde eksempelvis, at Pixel-telefoner ikke ville være sårbare over for netop disse exploit-kæder.
En angriber ville i stedet have brug for en bredere sårbarhed i Android eller Linux-kernen for at få root-adgang på disse enheder.
Angrebet begynder med flugt fra sandkassen
Android kører normalt tredjepartsapps i en begrænset sandkasse kendt som untrusted_app. Dette miljø forhindrer almindelig software i at få adgang til følsomme systemressourcer.
Sådanne apps bør ikke kunne kommunikere direkte med kernedrivere. De bør heller ikke kunne komme i nærheden af root-rettigheder.
Android tilbyder dog kommunikationsgrænseflader mellem processer, som gør det muligt for apps og tjenester at udveksle oplysninger.
Telefonproducenter udvider denne angrebsflade, når de tilføjer proprietære apps, tjenester og baggrundsprocesser. Hver ny komponent kan introducere flere kommunikationsgrænseflader.
Nogle producenttjenester kan også åbne og kommunikere med privilegerede kernedrivere. Derfor kan en sårbar tjeneste blive en bro mellem en app uden rettigheder og kernen.
Maar sagde, at en enkelt logisk fejl kan gøre det muligt for en angriber at krydse denne grænse. Eksempler omfatter en manglende kontrol af den, der foretager kaldet, en forkert eksporteret komponent eller en ikke-valideret filsti.
I angrebets første fase udnyttede han en fejl i brugerområdesoftware udviklet af producenten. Denne sårbarhed flyttede den skadelige app ind i en proces, som telefonproducenten kontrollerede.
Fejl i kernedriver giver root-adgang
Efter at have undsluppet sandkassen rettede angrebet sig mod en use-after-free-sårbarhed i en OEM-specifik kernedriver.
En use-after-free-sårbarhed opstår, når software fortsætter med at referere til hukommelse, efter at systemet har frigivet den. Operativsystemet kan derefter tildele den samme hukommelse til en anden proces eller et andet formål.
I dette tilfælde beholdt driveren en reference til en hukommelsesside, efter at kernen havde frigivet den. Den forældede reference gjorde det muligt for forskeren at få adgang til og ændre kernedata.
Ved at kombinere logikfejlen i brugerområdet med fejlen i kernedriveren opnåede han root-adgang. Maar gentog den overordnede strategi på tværs af tre store økosystemer fra Android-producenter.
Han beskrev teknikken som meget pålidelig og bredt portabel. Den kræver angiveligt kun begrænsede ændringer mellem kerneversioner, producenter, chiptyper og telefonmodeller.
Forskeren har ikke offentliggjort proof-of-concept-kode. I stedet har han offentliggjort flere videoer, der viser angrebene mod flagskibsenheder.
Han planlægger at offentliggøre yderligere forskning, der forklarer hver producentspecifik exploit-kæde mere detaljeret.
Root-adgang kan omgå Androids beskyttelse
Root-adgang gør det muligt for en skadelig app at omgå Androids normale tilladelsessystem. Den kan potentielt læse beskyttede oplysninger og manipulere indstillinger, som brugere normalt ikke har adgang til.
En angriber kan også forstyrre sikkerhedskontroller, overvåge aktivitet eller opretholde skjult adgang til enheden.
I ekstreme tilfælde kan uautoriserede ændringer af system- eller hardwareindstillinger på lavt niveau beskadige telefonen.
Disse kernesårbarheder er vanskelige at afhjælpe, når en angriber først når den sårbare driver. Derfor skal producenterne gennemgå drivere, der mapper kerneejet hukommelse til brugerområdet eller enhedens adresserum.
Udviklere skal sikre, at hver mapping afsluttes, før kernen frigiver den tilknyttede hukommelsesside. Ellers kan en forældet reference fortsat eksponere følsomme kernedata.
0 svar til “Android OEM-sårbarheder giver apps uden rettigheder root-adgang”