En säkerhetsforskare har visat hur en Android-app utan några behörigheter kan få root-åtkomst på flaggskeppstelefoner från flera stora tillverkare. Attacken kringgår operativsystemets sandlåda och ger appen nästan fullständig kontroll över enheten.
Sårbarheterna påverkar programvara och kärndrivrutiner som lagts till av telefontillverkare. Därför säger forskaren att det underliggande problemet inte kommer från standardversionen av Android.
Obehörig app tar kontroll över flaggskeppstelefoner
Lukas Maar, säkerhetsforskare på Calif, utvecklade tre exploit-kedjor riktade mot enheter från Samsung, Xiaomi, Oppo, OnePlus och Realme.
Han gav forskningsprojektet namnet ”OEMpocalypse Now”. Attackerna fokuserar specifikt på programvara som utvecklats av originalutrustningstillverkare.
Maar demonstrerade tekniken på flera flaggskeppstelefoner med de senaste tillgängliga säkerhetsuppdateringarna. De testade enheterna inkluderade Samsung Galaxy S26 Ultra, Galaxy S26 och Galaxy S23.
Han testade även attacken på Xiaomi 17, Oppo Find X9 Ultra och OnePlus Ace 6 Ultra. Ingen av de skadliga testapparna hade några deklarerade behörigheter.
Trots detta kunde apparna ta sig förbi Androids begränsningar och öppna ett root-skal. Root-åtkomst ger omfattande kontroll över operativsystemet och informationen som lagras på enheten.
Det berörda produktutbudet kan sträcka sig bortom de testade telefonerna. Enligt forskaren omfattar Samsungs exploit-kedjor modeller från åtminstone Galaxy S23 till S26-serien samt nyare Galaxy Z-enheter.
Resultaten gäller även många Xiaomi-telefoner i mellan- och flaggskeppssegmentet. Dessutom använder nyare flaggskeppsmodeller från Oppo, OnePlus och Realme relaterade sårbara komponenter.
Tillverkarnas programvara skapar en svag punkt
Android OEM-sårbarheterna är inte beroende av en specifik Android-version, chipset, kärnversion eller enhetsmodell.
I stället riktar sig attacken mot ytterligare programvarulager som tillverkare installerar ovanpå Android. Dessa plattformar inkluderar gränssnitt som One UI, HyperOS och ColorOS.
Tillverkare lägger också till egna systemtjänster, bakgrundsprocesser och kärndrivrutiner. Dessa komponenter har ofta omfattande behörigheter eftersom de hanterar hårdvara och proprietära enhetsfunktioner.
Denna privilegierade åtkomst skapar dock ytterligare attackvägar. En svaghet i en tillverkarkomponent kan göra det möjligt för en vanlig app att korsa säkerhetsgränser.
Maar sade att de sårbara drivrutinerna inte verkade vara utformade för att hantera anrop från en fientlig applikation. Därför saknade de skydd som krävs mot skadlig indata.
Android-enheter med standardversionen av operativsystemet innehåller inte samma tillverkarspecifika programvara. Forskaren sade exempelvis att Pixel-telefoner inte skulle vara sårbara för just dessa exploit-kedjor.
En angripare skulle i stället behöva en bredare sårbarhet i Android eller Linux-kärnan för att få root-åtkomst på dessa enheter.
Attacken börjar med en flykt från sandlådan
Android kör normalt tredjepartsappar i en begränsad sandlåda som kallas untrusted_app. Denna miljö hindrar vanliga appar från att komma åt känsliga systemresurser.
Sådana appar ska inte kunna kommunicera direkt med kärndrivrutiner. De ska inte heller kunna komma i närheten av root-behörigheter.
Android tillhandahåller dock kommunikationsgränssnitt mellan processer som gör det möjligt för appar och tjänster att utbyta information.
Telefontillverkare utökar denna attackyta när de lägger till proprietära appar, tjänster och bakgrundsprocesser. Varje ny komponent kan introducera fler kommunikationsgränssnitt.
Vissa tillverkartjänster kan även öppna och kommunicera med privilegierade kärndrivrutiner. Därför kan en sårbar tjänst bli en brygga mellan en obehörig app och kärnan.
Maar sade att ett enda logiskt fel kan göra det möjligt för en angripare att korsa denna gräns. Exempel inkluderar en saknad kontroll av anroparen, en felaktigt exporterad komponent eller en ovaliderad filsökväg.
I attackens första steg utnyttjade han ett fel i tillverkarutvecklad userspace-programvara. Sårbarheten flyttade den skadliga appen till en process som kontrollerades av telefontillverkaren.
Sårbarhet i kärndrivrutin ger root-åtkomst
Efter att ha tagit sig ur sandlådan riktade attacken in sig på en use-after-free-sårbarhet i en OEM-specifik kärndrivrutin.
En use-after-free-sårbarhet uppstår när programvara fortsätter att referera till minne efter att systemet har frigjort det. Operativsystemet kan då tilldela samma minne till en annan process eller ett annat ändamål.
I det här fallet behöll drivrutinen en referens till en minnessida efter att kärnan hade frigjort den. Den inaktuella referensen gjorde det möjligt för forskaren att komma åt och ändra kärndata.
Genom att kombinera logikfelet i userspace med felet i kärndrivrutinen kunde han få root-åtkomst. Maar upprepade den övergripande strategin i tre stora ekosystem från Android-tillverkare.
Han beskrev tekniken som mycket tillförlitlig och brett portabel. Den kräver enligt uppgift endast begränsade ändringar mellan olika kärnversioner, tillverkare, chipset och telefonmodeller.
Forskaren har inte publicerat någon proof-of-concept-kod. I stället har han släppt flera videor som visar attackerna mot flaggskeppsenheter.
Han planerar att publicera ytterligare forskning som förklarar varje tillverkarspecifik exploit-kedja mer detaljerat.
Root-åtkomst kan kringgå Androids skydd
Root-åtkomst gör det möjligt för en skadlig app att kringgå Androids vanliga behörighetssystem. Den kan potentiellt läsa skyddad information och manipulera inställningar som användare normalt inte kan komma åt.
En angripare kan även störa säkerhetskontroller, övervaka aktivitet eller behålla dold åtkomst till enheten.
I extrema fall kan obehöriga ändringar av system- eller hårdvaruinställningar på låg nivå skada telefonen.
Dessa kärnsårbarheter är svåra att begränsa när en angripare väl når den sårbara drivrutinen. Därför måste tillverkare granska drivrutiner som mappar kärnägt minne till userspace eller enheters adressutrymmen.
Utvecklare måste säkerställa att varje mappning avslutas innan kärnan frigör den tillhörande minnessidan. Annars kan en inaktuell referens fortsätta att exponera känsliga kärndata.
0 svar till ”Android OEM-sårbarheter ger obehöriga appar root-åtkomst”