Cadeias de OEM Android transformam apps não confiáveis em root

Lukas Maar apresenta uma estratégia de dois estágios para escalar do domínio untrusted_app do Android para root em dispositivos de fábrica com bootloaders bloqueados. A abordagem visa código específico de OEM e foi demonstrada em dispositivos Samsung, Xiaomi, Oppo, OnePlus e Realme; os componentes afetados, sequências de ioctl e código de exploit não são públicos.

• Escape de sandbox de IPC de OEM — Uma verificação de chamador ausente, componente exportado desnecessariamente ou caminho de arquivo não validado permite que um app sem privilégios alcance um processo de OEM cujo domínio SELinux pode acessar o driver alvo. Este estágio é necessário quando o driver não é diretamente alcançável a partir de untrusted_app.

• Use-after-free de página em um driver de kernel de OEM — O driver libera uma página física enquanto um mapeamento de CPU ou dispositivo permanece ativo. Depois que a página é reutilizada para uma tabela de páginas ou outro objeto do kernel, o mapeamento obsoleto fornece acesso de leitura/escrita à memória do kernel, permitindo alterações em estado sensível à segurança e escalação para root.

As cadeias foram empacotadas como apps Android comuns sem permissões declaradas e demonstradas em imagens assinadas de fábrica com Verified boot: green, Bootloader lock: 1 e VBMeta state: locked. O artigo não fornece um identificador CVE ou PoC reproduzível, e a reprodução independente está atualmente indisponível.

Artigo: https://calif.io/research/oempocalypse