Android-OEM-Schwachstellen verschaffen unprivilegierten Apps Root-Zugriff

Ein Sicherheitsforscher hat demonstriert, wie eine Android-App ohne Berechtigungen Root-Zugriff auf Flaggschiff-Smartphones mehrerer großer Hersteller erlangen kann. Der Angriff umgeht die Sandbox des Betriebssystems und verschafft der App nahezu vollständige Kontrolle über das Gerät.

Die Schwachstellen betreffen Software und Kernel-Treiber, die von Smartphone-Herstellern hinzugefügt wurden. Daher liegt das zugrunde liegende Problem laut dem Forscher nicht im Standard-Android.

Unprivilegierte App übernimmt Kontrolle über Flaggschiff-Smartphones

Lukas Maar, Sicherheitsforscher bei Calif, entwickelte drei Exploit-Ketten für Geräte von Samsung, Xiaomi, Oppo, OnePlus und Realme.

Er nannte das Forschungsprojekt „OEMpocalypse Now“. Die Angriffe konzentrieren sich speziell auf Software, die von Originalgeräteherstellern entwickelt wurde.

Maar demonstrierte die Technik auf mehreren Flaggschiff-Smartphones mit den neuesten verfügbaren Sicherheitsupdates. Zu den getesteten Geräten gehörten das Samsung Galaxy S26 Ultra, Galaxy S26 und Galaxy S23.

Er testete den Angriff außerdem auf dem Xiaomi 17, Oppo Find X9 Ultra und OnePlus Ace 6 Ultra. Keine der schädlichen Testanwendungen verfügte über deklarierte Berechtigungen.

Dennoch konnten die Apps die Android-Beschränkungen umgehen und eine Root-Shell öffnen. Root-Zugriff ermöglicht eine umfassende Kontrolle über das Betriebssystem und die auf dem Gerät gespeicherten Informationen.

Die betroffene Produktpalette könnte über die getesteten Smartphones hinausgehen. Laut dem Forscher decken die Samsung-Exploit-Ketten mindestens Modelle vom Galaxy S23 bis zur S26-Serie sowie neuere Galaxy-Z-Geräte ab.

Die Ergebnisse gelten außerdem für viele Mittelklasse- und Flaggschiff-Smartphones von Xiaomi. Darüber hinaus verwenden aktuelle Flaggschiff-Geräte von Oppo, OnePlus und Realme verwandte anfällige Komponenten.

Hersteller-Software schafft Schwachstelle

Die Android-OEM-Schwachstellen hängen nicht von einer bestimmten Android-Version, einem Chipsatz, einer Kernel-Version oder einem Gerätemodell ab.

Stattdessen richtet sich der Angriff gegen zusätzliche Softwareschichten, die Hersteller über Android installieren. Zu diesen Plattformen gehören Benutzeroberflächen wie One UI, HyperOS und ColorOS.

Hersteller fügen außerdem eigene Systemdienste, Hintergrundprozesse und Kernel-Treiber hinzu. Diese Komponenten verfügen häufig über weitreichende Berechtigungen, da sie Hardware und proprietäre Gerätefunktionen verwalten.

Dieser privilegierte Zugriff schafft jedoch zusätzliche Angriffswege. Eine Schwachstelle in einer Herstellerkomponente kann es einer gewöhnlichen App ermöglichen, Sicherheitsgrenzen zu überschreiten.

Maar erklärte, dass die anfälligen Treiber offenbar nicht dafür ausgelegt waren, Aufrufe einer feindlichen Anwendung zu verarbeiten. Dadurch fehlten ihnen die notwendigen Schutzmechanismen gegen schädliche Eingaben.

Geräte mit Standard-Android enthalten nicht dieselbe herstellerspezifische Software. Beispielsweise erklärte der Forscher, dass Pixel-Smartphones für diese speziellen Exploit-Ketten nicht anfällig seien.

Ein Angreifer würde stattdessen eine allgemeinere Schwachstelle in Android oder im Linux-Kernel benötigen, um auf diesen Geräten Root-Zugriff zu erlangen.

Angriff beginnt mit Ausbruch aus der Sandbox

Android führt Drittanbieter-Apps normalerweise innerhalb einer eingeschränkten Sandbox namens untrusted_app aus. Diese Umgebung verhindert, dass gewöhnliche Software auf sensible Systemressourcen zugreift.

Solche Apps sollten nicht direkt mit Kernel-Treibern kommunizieren können. Außerdem sollten sie keinen Zugriff auf Root-Berechtigungen erhalten können.

Android stellt jedoch Schnittstellen für die Kommunikation zwischen Prozessen bereit, über die Anwendungen und Dienste Informationen austauschen können.

Smartphone-Hersteller vergrößern diese Angriffsfläche, wenn sie proprietäre Apps, Dienste und Hintergrundprozesse hinzufügen. Jede neue Komponente kann zusätzliche Kommunikationsschnittstellen einführen.

Einige Herstellerdienste können außerdem privilegierte Kernel-Treiber öffnen und mit ihnen kommunizieren. Daher kann ein anfälliger Dienst zu einer Brücke zwischen einer unprivilegierten App und dem Kernel werden.

Maar erklärte, dass ein einziger Logikfehler einem Angreifer ermöglichen könne, diese Grenze zu überschreiten. Beispiele sind eine fehlende Überprüfung des Aufrufers, eine falsch exportierte Komponente oder ein nicht validierter Dateipfad.

In der ersten Angriffsphase nutzte er einen Fehler in einer vom Hersteller entwickelten Userspace-Software aus. Diese Schwachstelle brachte die schädliche App in einen Prozess, der vom Smartphone-Hersteller kontrolliert wurde.

Schwachstelle im Kernel-Treiber ermöglicht Root-Zugriff

Nach dem Ausbruch aus der Sandbox richtete sich der Angriff gegen eine Use-after-free-Schwachstelle in einem OEM-spezifischen Kernel-Treiber.

Eine Use-after-free-Schwachstelle tritt auf, wenn Software weiterhin auf Speicher verweist, nachdem das System diesen bereits freigegeben hat. Das Betriebssystem kann denselben Speicher anschließend einem anderen Prozess oder Zweck zuweisen.

In diesem Fall behielt der Treiber eine Referenz auf eine Speicherseite, nachdem der Kernel sie freigegeben hatte. Die veraltete Referenz ermöglichte es dem Forscher, auf Kernel-Daten zuzugreifen und diese zu verändern.

Durch die Kombination des Logikfehlers im Userspace mit der Schwachstelle im Kernel-Treiber erlangte er Root-Zugriff. Maar wiederholte die grundlegende Strategie in drei großen Ökosystemen von Android-Herstellern.

Er beschrieb die Technik als äußerst zuverlässig und breit übertragbar. Berichten zufolge sind nur begrenzte Änderungen zwischen verschiedenen Kernel-Versionen, Herstellern, Chipsätzen und Smartphone-Modellen erforderlich.

Der Forscher hat keinen Proof-of-Concept-Code veröffentlicht. Stattdessen veröffentlichte er mehrere Videos, die die Angriffe auf Flaggschiff-Geräte zeigen.

Er plant, weitere Forschungsergebnisse zu veröffentlichen, die jede herstellerspezifische Exploit-Kette detaillierter erklären.

Root-Zugriff kann Android-Schutzmechanismen umgehen

Root-Zugriff ermöglicht es einer schädlichen App, das standardmäßige Berechtigungssystem von Android zu umgehen. Sie kann potenziell geschützte Informationen lesen und Einstellungen verändern, auf die Nutzer normalerweise keinen Zugriff haben.

Ein Angreifer kann außerdem Sicherheitskontrollen beeinträchtigen, Aktivitäten überwachen oder einen versteckten Zugriff auf das Gerät aufrechterhalten.

In extremen Fällen könnten unbefugte Änderungen an System- oder Hardwareeinstellungen auf niedriger Ebene das Smartphone beschädigen.

Diese Kernel-Schwachstellen lassen sich nur schwer eindämmen, sobald ein Angreifer den anfälligen Treiber erreicht hat. Daher müssen Hersteller Treiber überprüfen, die Kernel-eigenen Speicher in den Userspace oder in Geräteadressräume abbilden.

Entwickler müssen sicherstellen, dass jede Speicherabbildung beendet wird, bevor der Kernel die zugehörige Speicherseite freigibt. Andernfalls kann eine veraltete Referenz weiterhin sensible Kernel-Daten offenlegen.