Опубликован PoC-эксплоит для критической уязвимости в Android

Кандидат наук Института кибербезопасности Флоридского университета Грант Эрнандес (Grant Hernandez) опубликовал PoC-эксплоит для уязвимости нулевого дня в Android, позволяющий получить на устройстве права суперпользователя и захватить контроль над ним.

Уязвимость (CVE-2019-2215) в ядре Android была обнаружена исследователями Google Project Zero ранее в текущем месяце, однако к тому времени ее уже активно эксплуатировали злоумышленники. Тогда же исследовательница Мэдди Стоун (Maddie Stone) опубликовала свой PoC-эксплоит, однако он позволял только читать/записывать данные в ядро, и для того чтобы реально воспользоваться им, атакующему все равно приходилось каким-то образом обходить защиту, реализованную на уровне ядра.

Опубликованный Эрнандесом PoC-эксплоит под названием Qu1ckR00t позволяет обойти защиту ядра, получить права суперпользователя и захватить полный контроль над устройством. В частности Qu1ckR00t обходит технологию избирательного контроля доступа (Discretionary Access Control, DAC) и Linux Capabilities (CAP), а также отключает SELinux (Security-Enhanced Linux), SECCOMP (Secure Computing Mode) и MAC (Mandatory Access Control).

PoC-эксплоит опубликован на GitHub в виде исходного кода, а не готового APK-файла, и для того чтобы воспользоваться инструментом, нужно сначала самостоятельно его скомпилировать. Неопытным пользователям рекомендуется воздержаться от тестирования инструмента, поскольку они могут по незнанию превратить его в «кирпич» и потерять все данные.

Уязвимость затрагивает устройства от различных производителей (в том числе Pixel 2, Huawei P20, Xiaomi Redmi 5A, Xiaomi Redmi Note 5, Xiaomi A1, Oppo A3, Moto Z3, устройства Oreo LG и Samsung), работающие под управлением Android 8.x и выше. Эрнандес протестировал Qu1ckR00t только на смартфонах Pixel 2.

В целях обезопасить уязвимые устройства от возможной эксплуатации злоумышленниками пользователям настоятельно рекомендуется установить патч, выпущенный в рамках октябрьских обновлений безопасности.