Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Intrygująca podatność w googlowym telefonie, umożliwiająca zdobycie na nim roota
Zobaczcie na tę historię o dość intrygującym tytule: The “not-Google” bug in the “all-Google” phone.
Badacz opisuje historię podatności w sterownikach do GPU na Pixelu 6, która umożliwia zdobycie z poziomu appki androidowej uprawnień na poziomie jądra OS (oraz oczywiście uprawnień root).
Badacz wycelował (CVE-2022-38181) w sterowniki do GPU, dokładniej w sterowniki do tego chipu Arm Mali GPU. Od razu warto wspomnieć, że podatność może mieć o wiele większy zasięg:
Procesor graficzny Arm Mali to komponent sprzętowy, który można zintegrować z różnymi urządzeniami, od telefonów z systemem Android po inteligentne telewizory. Na przykład wszystkie międzynarodowe wersje telefonów Samsung z serii S, aż do S21, używają procesora graficznego Mali, podobnie Google Pixel 6.
The Arm Mali GPU is a “device-specific” hardware component which can be integrated into various devices, ranging from Android phones to smart TV boxes. For example, all of the international versions of the Samsung S series phones, up to S21 use the Mali GPU, as well as the Pixel 6 series.
Luka została najpierw zgłoszona do ekipy Androida, która odpisała: nie no, to bug nie u nas, nie łatamy (won’t fix). Badacz zgłosił więc podatność do Arma, ten przygotował łatkę, a w styczniu podatność została załatana w Androidzie.
Badacz publikuje na swoim blogu szczegółowy opis samej podatności jak i sposobu exploitacji. Na sam koniec mamy dość niepokojącą puentę:
The year is 2023 A.D., and it’s still easy to pwn Android with N-days entirely. Well, yes, entirely.
… którą można sparafrazować tak: ktoż wgrywa regularnie aktualizacje bezpieczeństwa na swojego Androida? A nawet jeśli wgrywa, to warto zastanowić się ile urządzeń w 2023 roku otrzyma łatkę bezpieczeństwa, o której wspominamy w tym poście.
~Michał Sajdak.
Google ma dziwne podejście, po pierwsze otagowałbym to nie jako „won’t fix” a „dependency issue” czy coś, a po drugie albo zaczął pracę nad poprawką, albo jeśli kod zależności jest zamknięty to pisał do odpowiedzialnego zespołu
no ale tak samo jest z renderowaniem tekstu w Chromium: „no ok, mamy kilka możliwych obejść problemu, ale w sumie powinien on zostać naprawiony w bibliotece, której używamy… no tak, jest FOSS, ale co to ma do rzeczy?” i tak już 7 lat nie da się czytać tekstu w Chromium, bo to nie ich problem :)
Ale jeśli by go przyjęli do naprawy to powinni zapłacić za znalezienie luki bezpieczenstwa, a tak..nie muszą.
Mam wrażenie, że odpowiedź google’a jest prawidłowa – bug nie jest po ich stronie, więc ich ekipa tego nie będzie łatała. Przesłali do właściwego adresata, a jak załatano problem u źródła to wtedy wrzucili poprawkę do siebie. Prawidłowa kolejność prac w projektach, bez względu czy to FOSS czy coś innego.
Swoją drogą podatność nie jest ograniczona do pixeli, tylko do telefonów z GPU Mali. Dlaczego nagłówek sugeruje, że tylko telefony google’a mają tę konkretną podatność?
W ogóle to powinna być oficjalna możliwość włączenia roota w Andku, bezpośrednio w systemie, bez użycia jakichś dziwnych appek pokroju KingoRoot (które swoją drogą nigdy mi nie działało). Może ukryta w opcjach programisty żeby zwykli ludzie sobie kuku nie zrobili, ale powinna być.
I degooglowanie smarphona stalobysie latwiejsze. A tak to zawsze muszę polowac na modele wspierane przez Lineage Os