Lolipop源码已经放出有些日子了,我发现google在Android 5.0上修复了一个高危漏洞,利用该漏洞可以发送任意广播:不仅可以发送系统保护级别的广播、还可以无视receiver的android:exported=false、android:permisson=XXX 属性的限制。
简直就是LaunchAnywhere 漏洞的broadcast版本,所以就称它是broadAnywhere吧。这个漏洞在5.0以下的系统上通杀,影响还是很大的。
一、先看补丁
通过补丁可以看到漏洞发生在src/com/android/settings/accounts/AddAccountSettings.java 的 addAccount 函数中。这回这个漏洞出现在Settings添加账户的时候。使用AccountManager添加账户的流程如下图:
关于AccountManagerService的流程机制请参考LaunchAnywhere漏洞的分析,本篇就不赘述了。
二、如何利用本次的漏洞就发生在流程图的Step1之前, Setting调用了AccountManager.addAccount。在传递的AddAccountOptions参数时加入了一个PendingIntent,其intent类型是Broadcast。注意这个PendingIntent是Settings创建的,拥有system权限。
AppB会在step3的时候取到了AddAccountOptions参数,从中获得了这个PendingIntent,并且可以利用它以system的身份发送广播,示例代码如下:
以System身份可以发送系统级的广播protected-broadcast,同时还可以将广播发送给未导出的receiver(android:exported=false)和有权限限制的receiver。
三、原理分析回过头再看一下Settings是如何创建PendingIntent的:
Settings本身是一个高权限进程,它将自己的PendingIntent传给不可信的第三方程序是不安全的。
因为Settings初始化PendingIntent的时候传入的是一个没有内容的new Intent(),所以攻击者在调用PendingIntent.send( )的时候可以随意设置Intent中的大部分内容。这是由于在系统源码中PendingIntentRecord.sendInner 调用了finalIntent.fillIn(intent, key.flags);,允许调用者填充Intent的值。
PendingIntentRecord.java
四、漏洞危害和应用场景这个漏洞在安卓5.0以下通杀,可以认为该漏洞影响目前99.9%的安卓手机。
利用这个漏洞可以攻击绝大多数broadcast receiver。由于Intent.fillIn这个函数要求component必须显式填充,我们不能发送指定component的intent的。但是可以通过指定intent的action已经可以攻击大多数receiver了。
所以这个漏洞也是有很大利用空间的。下面举几个例子
1. 发送android.intent.action.BOOT_COMPLETED广播,这是一个系统保护的广播action。发送这个广播将导致system_server直接崩溃,造成本地DoS攻击。2. 4.4上发送android.provider.Telephony.SMS_DELIVER可以伪造接收短信。3. 发送com.google.android.c2dm.intent.RECEIVE广播,设备将恢复至出厂设置。
上述提到的几种利用方法已经开源:
https://github.com/retme7/broadAnyWhere_poc_by_retme_bug_17356824