P r o j e c t Z e r o P r o j e c t Z e r o N e w s a n d u p d a t e s f r o m t h e P r o j e c t Z e r o t e a m a t G o o g l e T h u r s d a y , J u n e 1 3 , 2 0 2 4 D r i v i n g f o r w a r d i n A n d r o i d d r i v e r s P o s t e d b y S e t h J e n k i n s , G o o g l e P r o j e c t Z e r o I n t r o d u c t i o n A n d r o i d s o p e n s o u r c e e c o s y s t e m h a s l e d t o a n i n c r e d i b l e d i v e r s i t y o f m a n u f a c t u r e r s a n d v e n d o r s d e v e l o p i n g s o f t w a r e t h a t r u n s o n a b r o a d v a r i e t y o f h a r d w a r e . T h i s h a r d w a r e r e q u i r e s s u p p o r t i n g d r i v e r s , m e a n i n g t h a t m a n y d i f f e r e n t c o d e b a s e s c a r r y t h e p o t e n t i a l t o c o m p r o m i s e a s i g n i f i c a n t s e g m e n t o f A n d r o i d p h o n e s . T h e r e a r e r e c e n t p u b l i c e x a m p l e s   o f t h i r d p a r t y d r i v e r s c o n t a i n i n g s e r i o u s v u l n e r a b i l i t i e s t h a t a r e e x p l o i t e d o n A n d r o i d . W h i l e t h e r e e x i s t s a w e l l e s t a b l i s h e d b o d y o f p u b l i c ( a n d I n t h e W i l d ) s e c u r i t y r e s e a r c h   o n A n d r o i d G P U d r i v e r s ,   o t h e r c h i p s e t c o m p o n e n t s m a y n o t b e a s f r e q u e n t l y a u d i t e d   s o t h i s r e s e a r c h s o u g h t t o e x p l o r e t h o s e d r i v e r s i n g r e a t e r d e t a i l . D r i v e r E n u m e r a t i o n : N o t a s E a s y a s i t L o o k s T h i s r e s e a r c h f o c u s e d o n t h r e e A n d r o i d d e v i c e s ( c h i p s e t m a n u f a c t u r e r s i n p a r e n t h e s e s ) : G o o g l e P i x e l 7 ( T e n s o r ) X i a o m i 1 1 T ( M e d i a T e k ) A s u s R O G 6 D ( M e d i a T e k ) I n o r d e r t o p e r f o r m d r i v e r r e s e a r c h o n t h e s e d e v i c e s I f i r s t h a d t o f i n d a l l o f t h e k e r n e l d r i v e r s t h a t w e r e a c c e s s i b l e f r o m a n u n p r i v i l e g e d c o n t e x t o n e a c h d e v i c e ; a t a s k c o m p l i c a t e d b y t h e n o n u n i f o r m i t y o f k e r n e l d r i v e r s ( a n d t h e i r p e r m i s s i o n s s t r u c t u r e s ) a c r o s s d i f f e r e n t d e v i c e s e v e n w i t h i n t h e s a m e c h i p s e t m a n u f a c t u r e r .   T h e r e a r e s e v e r a l d i f f e r e n t m e t h o d o l o g i e s f o r d i s c o v e r i n g t h e s e d r i v e r s . T h e m o s t s t r a i g h t f o r w a r d t e c h n i q u e i s t o s e a r c h t h e a s s o c i a t e d f i l e s y s t e m s l o o k i n g f o r e x p o s e d d r i v e r d e v i c e f i l e s . T h e s e f i l e s s e r v e a s t h e p r i m a r y m e t h o d b y w h i c h u s e r l a n d c a n i n t e r a c t w i t h t h e d r i v e r . N o r m a l l y t h e “ f i l e ” i s o p e n ’ d b y a u s e r l a n d p r o c e s s , w h i c h t h e n u s e s a c o m b i n a t i o n o f r e a d , w r i t e , i o c t l , o r e v e n m m a p   t o i n t e r a c t w i t h t h e d r i v e r . T h e d r i v e r t h e n “ t r a n s l a t e s ” t h o s e i n t e r a c t i o n s i n t o m a n i p u l a t i o n s o f t h e u n d e r l y i n g h a r d w a r e d e v i c e s e n d i n g t h e o u t p u t o f t h a t d e v i c e b a c k t o u s e r l a n d a s w a r r a n t e d . E f f e c t i v e l y a l l d r i v e r s e x p o s e t h e i r i n t e r f a c e s t h r o u g h t h e P r o c F S o r D e v F S f i l e s y s t e m s , s o I f o c u s e d o n t h e / p r o c   a n d / d e v   d i r e c t o r i e s w h i l e s e a r c h i n g f o r v i a b l e a t t a c k s u r f a c e s . T h e o r e t i c a l l y , e v a l u a t i n g a l l t h e u s e r l a n d a c c e s s i b l e d r i v e r s s h o u l d b e a s s i m p l e a s c a l l i n g f i n d / d e v   o r f i n d / p r o c , a t t e m p t i n g t o o p e n   e v e r y f i l e d i s c o v e r e d , a n d l o g g i n g w h i c h o p e n   a t t e m p t s w e r e s u c c e s s f u l . H o w e v e r , t h e r e i s o n e m a j o r r o a d b l o c k t h a t p r e v e n t s t h i s a p p r o a c h f r o m b e i n g c o m p r e h e n s i v e p e r m i s s i o n s ! S E L i n u x a n d t r a d i t i o n a l L i n u x D i s c r e t i o n a r y A c c e s s C o n t r o l p o l i c i e s c a n p r e v e n t s i m p l e f i l e s y s t e m e n u m e r a t i o n f r o m d i s c o v e r i n g a l l o f t h e a c c e s s i b l e d e v i c e d r i v e r s a s s o c i a t e d o n t h e f i l e s y s t e m . F o r e x a m p l e , t h e u n t r u s t e d _ a p p   S E L i n u x c o n t e x t h a s s e a r c h   p e r m i s s i o n s o n t h e d e v i c e   S E L i n u x c o n t e x t f o r d i r e c t o r i e s , b u t i s n o t a l l o w e d t o d i r e c t l y o p e n t h e d i r e c t o r y i t s e l f : T h i s s e a r c h   p e r m i s s i o n ( r a t h e r c o u n t e r i n t u i t i v e l y ) d o e s n o t   a l l o w t h e s o u r c e c o n t e x t t o l i s t t h e c o n t e n t s o f d i r e c t o r i e s t h a t h a v e t h i s S E L i n u x t a r g e t c o n t e x t . I n s t e a d , i t s i m p l y a l l o w s s u c h a d i r e c t o r y t o b e i n t h e a n c e s t o r d i r e c t o r i e s o f t h e f i l e p a t h t h a t t h e s o u r c e c o n t e x t a t t e m p t s t o o p e n . I n p r a c t i c e , t h i s m e a n s t h a t u n t r u s t e d _ a p p i s a l l o w e d t o o p e n e . g . / d e v / m a l i 0   b u t i s u s u a l l y n o t a l l o w e d t o o p e n / d e v   i t s e l f : I n t h e c a s e o f / d e v , t h e s h e l l   c o n t e x t i s a l l o w e d t o o p e n a n d l i s t t h e c o n t e n t s o f / d e v . T h a t m e a n s t h a t b y f i r s t e n u m e r a t i n g t h e / d e v   d i r e c t o r y f r o m t h e s h e l l   c o n t e x t , t h e n a t t e m p t i n g t o o p e n a l l d i s c o v e r e d f i l e s f r o m t h e u n t r u s t e d _ a p p   c o n t e x t , a s e c u r i t y r e s e a r c h e r c a n u n d e r s t a n d w h a t d r i v e r s a r e a n d a r e n o t a c c e s s i b l e   f r o m a n a p p c o n t e x t i n t h e / d e v   d i r e c t o r y . H o w e v e r , t h e r e a r e c a s e s w h e r e c e r t a i n d i r e c t o r i e s a r e s i m p l y n o t l i s t a b l e f r o m a d e b u g g i n g a c c e s s i b l e n o n r o o t c o n t e x t , p a r t i c u l a r l y i n / p r o c . O n e o p t i o n t o e n u m e r a t e a l l t h e s e d i r e c t o r i e s w o u l d b e t o r o o t t h e p h o n e , h o w e v e r , t h i s i s n o t a l w a y s e a s i l y a c h i e v a b l e . A s t r a t e g y I f o u n d h e l p f u l i n t h i s r e g a r d w a s t o e x a m i n e p u b l i c l y r e l e a s e d k e r n e l s o u r c e c o d e f o r t h e p h o n e m o d e l o r f o r s i m i l a r p h o n e m o d e l s .   T h e l o c a t i o n o f t h i s s o u r c e c o d e v a r i e s s i g n i f i c a n t l y f r o m m a n u f a c t u r e r t o m a n u f a c t u r e r , b u t t h e s o u r c e c o d e i s u s u a l l y e i t h e r h o s t e d o n G i t h u b o r v i a t h e m a n u f a c t u r e r w e b s i t e . D e v i c e d r i v e r s c r e a t e f i l e s i n / p r o c   p r i m a r i l y   v i a t h e p r o c _ c r e a t e ( )   a n d p r o c _ m k d i r ( )   f u n c t i o n c a l l s . A r e a l w o r l d e x a m p l e o f t h i s w o u l d b e :                 p a r e n t   =   p r o c _ m k d i r ( p e r f m g r ,   N U L L ) ;                 p e r f m g r _ r o o t   =   p a r e n t ;                 p e   =   p r o c _ c r e a t e ( p e r f _ i o c t l ,   0 6 6 4 ,   p a r e n t ,                   . . .                 p e   =   p r o c _ c r e a t e ( e a r a _ i o c t l ,   0 6 6 4 ,   p a r e n t ,                   . . .                 p e   =   p r o c _ c r e a t e ( e a s _ i o c t l ,   0 6 6 4 ,   p a r e n t ,                   . . .                 p e   =   p r o c _ c r e a t e ( x g f f _ i o c t l ,   0 6 6 4 ,   p a r e n t ,                   . . . A l t h o u g h t h e s e f i l e s c a n n o t b e d i r e c t l y e n u m e r a t e d , t h e y d o   e x i s t a n d a r e a c c e s s i b l e f r o m a n u n t r u s t e d c o n t e x t . I t w o u l d h a v e o t h e r w i s e r e q u i r e d r o o t i n g t h e p h o n e t o d i s c o v e r t h i s d r i v e r w i t h o u t a n a l y z i n g t h e k e r n e l s o u r c e c o d e . A n o t h e r u s e f u l r e s o u r c e i s t h e S E L i n u x p o l i c y i t s e l f . U s e r l a n d i n t e r a c t s w i t h t h e d r i v e r s v i a a f a i r l y t y p i c a l s e t o f V F S o p e r a t i o n s . T h i s m e a n s t h a t t h e S E L i n u x p o l i c y m u s t   e n c a p s u l a t e t h e n e c e s s a r y p e r m i s s i o n s t o p e r f o r m t h o s e o p e r a t i o n s . T h i s m e a n s t h a t t h e S E L i n u x p o l i c y g e n e r a l l y r e f l e c t s w h a t t h e d e v e l o p e r s i n t e n d t o b e a c c e s s i b l e f r o m a n u n t r u s t e d c o n t e x t . A n a l y s i s o f t h e p o l i c y c a n l e a d t o t h e d i s c o v e r y o f c e r t a i n o d d i t i e s a n d i d i o s y n c r a s i e s i n t h e a c c e s s i b i l i t y o f c e r t a i n d r i v e r s . F o r e x a m p l e , o c c a s i o n a l l y a f i l e m a y n o t b e d i r e c t l y o p e n a b l e v i a t h e f i l e s y s t e m , b u t t h e r e m a y b e s o m e a l t e r n a t i v e m e t h o d b y w h i c h a n a p p c a n a s k a n o t h e r m o r e p r i v i l e g e d p r o c e s s t o o p e n t h e f i l e o n i t s b e h a l f a n d h a n d t h e a s s o c i a t e d f d   b a c k , a f t e r w h i c h t h e a p p i s a l l o w e d t o r e a d / w r i t e / i o c t l   t o t h e f d   i t s e l f . O n e e x a m p l e o f t h i s b e h a v i o r w o u l d b e t h e E d g e T P U d e v i c e o n t h e P i x e l 7 : A d d i t i o n a l r e s e a r c h s u g g e s t s t h a t u n t r u s t e d _ a p p   c a n a s k a p r i v i l e g e d p r o c e s s f o r a c c e s s t o t h e E d g e T P U d r i v e r f d   i t s e l f i f i t l a n d s o n a n a l l o w l i s t o f c e r t a i n a p p l i c a t i o n s . T h e p e r f o r m e d s u r v e y s s t r o n g l y i m p l y t h a t t h e G P U d r i v e r i s t h e m o s t c o n s i s t e n t l y a c c e s s i b l e d r i v e r f r o m a n u n t r u s t e d a p p l i c a t i o n , w h i c h i s e x p e c t e d . O n t h e G o o g l e P i x e l 7 , I d i d n o t f i n d m u c h e l s e t h a t w a s a c c e s s i b l e f r o m a n e n t i r e l y u n p r i v i l e g e d c o n t e x t . N e v e r t h e l e s s , i n s p i r e d b y p r e v i o u s s i m i l a r e f f o r t s o n h a r d w a r e l i k e S a m s u n g ’ s N P U , I p e r f o r m e d r e s e a r c h o n t h e E d g e T P U d r i v e r G o o g l e ’ s t e n s o r p r o c e s s i n g u n i t f o r d o i n g M L r e l a t e d t a s k s o n t h e P i x e l s e r i e s o f d e v i c e s . T h i s r e s u l t e d   i n t h e d i s c o v e r y o f o n e s i g n i f i c a n t i s s u e   a r a c e c o n d i t i o n w h e n r e g i s t e r i n g m e m o r y w i t h t h e E d g e T P U m e m o r y w h i l e v m a ’ s a r e c o n c u r r e n t l y g e t t i n g m o d i f i e d . U n l i k e t h e P i x e l 7 , t h e M e d i a T e k c h i p s e t p h o n e s ( A s u s R O G 6 D a n d X i a o m i 1 1 T ) c o n t a i n e d s e v e r a l d i f f e r e n t d r i v e r s t h a t c o u l d b e a c c e s s e d f r o m u n p r i v i l e g e d u s e r l a n d : / p r o c / g e d / p r o c / m t k _ j p e g / p r o c / p e r f m g r / [ e a r a _ i o c t l , e a s _ i o c t l , p e r f _ i o c t l , x g f f _ i o c t l ] T h e s e d r i v e r s r e p r e s e n t s i g n i f i c a n t l y m o r e i n t e r e s t i n g a n d c o m p l e x a t t a c k s u r f a c e s t h a n w h a t w a s a v a i l a b l e o n t h e P i x e l 7 d e v i c e . T h e g e d d r i v e r c o n t a i n e d n u m e r o u s i n t e r e s t i n g a n d v a l u a b l e e x p l o i t a t i o n p r i m i t i v e s t h a t w e ’ l l d i s c u s s i n d e t a i l a b i t l a t e r . W h i l e t h e p e r f m g r d r i v e r p r e s e n t e d s e v e r a l a t t a c k s u r f a c e s , I w a s n ’ t a b l e t o f i n d a n y s e c u r i t y r e l e v a n t b u g s . T h e m t k _ j p e g d r i v e r h o w e v e r , y i e l d e d s i g n i f i c a n t f r u i t t h a t d e s e r v e s a c l o s e r l o o k . M e d i a T e k J P E G D e c o d i n g A c c e l e r a t o r T h e m t k _ j p e g d r i v e r m a n a g e s s p e c i a l i z e d h a r d w a r e o n M e d i a T e k d e v i c e s t o p e r f o r m j p e g d e c o d i n g a c c e l e r a t i o n . L i n u x k e r n e l d o c u m e n t a t i o n   n o t e s t h a t “ M e d i a t e k J P E G D e c o d e r i s t h e J P E G d e c o d e h a r d w a r e p r e s e n t i n M e d i a t e k S o C s ” .   M o r e r e l e v a n t l y , f r o m a n a t t a c k e r s p o i n t o f v i e w , t h i s d r i v e r c a n b e a c c e s s e d ( a t l e a s t o n t h e p h o n e s a s s e s s e d ) f r o m t h e u n t r u s t e d _ a p p   c o n t e x t ( a l t h o u g h c u r i o u s l y , i t c a n n o t   b e a c c e s s e d f r o m a n u n p r i v i l e g e d a d b d e b u g g i n g c o n t e x t ) . T h i s J P E G d e c o d i n g a c c e l e r a t o r a n d i t s a s s o c i a t e d d r i v e r i s p r e s e n t o n b o t h t h e X i a o m i 1 1 T a n d t h e A s u s R O G 6 D . H o w e v e r , b a s e d o n o p e n s o u r c e c o d e b a s e s f o r t h e s e d i f f e r e n t d e v i c e s k e r n e l s , i t a p p e a r s M e d i a T e k i s a c t i v e l y m a i n t a i n i n g s e v e r a l d i f f e r e n t t r e e s f o r t h i s d r i v e r , l i k e l y b a s e d o n t h e a s s o c i a t e d k e r n e l v e r s i o n , a n d t h e s e t w o d e v i c e s u s e s e p a r a t e t r e e s . I f o u n d t w o v u l n e r a b i l i t i e s i n t h i s d r i v e r . C V E 2 0 2 3 3 2 8 3 7   w a s a t e x t b o o k O O B r e a d / w r i t e i n a n a r r a y o f s t r u c t s . V a r i o u s d i f f e r e n t m e m b e r s o f t h e s t r u c t w e r e a c c e s s e d a n d m o d i f i e d , c r e a t i n g s e v e r a l d i f f e r e n t p o s s i b i l i t i e s f o r e x p l o i t a t i o n , b u t a l s o m a k i n g t h e m s i g n i f i c a n t l y m o r e c h a l l e n g i n g . I n t e r e s t i n g l y , M e d i a T e k p a r t i a l l y f i x e d   t h i s b u g i n J u l y 2 0 2 1 , a l t h o u g h t h e e x a c t d a t e t h i s p a t c h w e n t o u t t o O E M s i s u n c l e a r . F r o m t h e c o m m i t m e s s a g e , i t ’ s c l e a r t h a t M e d i a T e k d e t e c t e d t h i s i s s u e w i t h t h e C o v e r i t y s t a t i c a n a l y s i s t o o l , b u t   i t a p p e a r s u n l i k e l y t h a t t h e s e c u r i t y i m p a c t w a s i d e n t i f i e d . R e g a r d l e s s , w h i l e t h e i s s u e w a s f i x e d i n s o m e o f t h e M e d i a T e k k e r n e l t r e e s , i t w e n t u n p a t c h e d i n o t h e r v e r s i o n s o f t h a t s a m e d r i v e r . T h i s m e a n t t h a t w h i l e t h e A s u s R O G 6 D ( r u n n i n g k e r n e l 5 . 1 0 ) h a d r e c e i v e d t h e p a t c h f o r t h i s v u l n e r a b i l i t y ,   t h e ( o t h e r w i s e f u l l y p a t c h e d a n d s e c u r i t y s u p p o r t e d ) X i a o m i 1 1 T ( r u n n i n g 4 . 1 4 )   h a d n o t . S o m e b a c k g r o u n d k n o w l e d g e o n h o w t h e j p e g d r i v e r w o r k s e a s e s d i s c u s s i o n o f t h e o t h e r i s s u e , C V E 2 0 2 3 3 2 8 3 2 . T h e a c c e l e r a t o r h a r d w a r e h a s t w o s e p a r a t e “ c o r e s ” t h a t c a n p e r f o r m J P E G d e c o d i n g . W h e n a p r o c e s s r e q u e s t s J P E G d e c o d i n g w o r k t o b e p e r f o r m e d , i t c a l l s t h e i o c t l J P E G _ D E C _ I O C T L _ H Y B R I D _ S T A R T , a n d t h e k e r n e l d e c i d e s w h i c h d e c o d i n g c o r e w i l l p e r f o r m t h a t w o r k i n s i d e o f j p e g _ d r v _ h y b r i d _ d e c _ l o c k ( ) ( o u t p u t h a s b e e n c o l o r i z e d t o e a s e f o l l o w i n g a l o n g ) : s t a t i c   i n t   j p e g _ d r v _ h y b r i d _ d e c _ l o c k ( i n t   * h w i d )   e l s e                   }                 m u t e x _ u n l o c k (                 i f   ( i d   = =   H W _ C O R E _ N U M B E R )                   r e t u r n   r e t V a l u e ; } T h e a r r a y d e c _ h w l o c k e d   c o n t a i n s a b o o l e a n e l e m e n t f o r e a c h c o r e , w i t h t h a t e l e m e n t b e i n g s e t t o t r u e   f o r l o c k e d c o r e s , a n d f a l s e   f o r u n l o c k e d c o r e s . T h i s a r r a y i s a l s o p r o t e c t e d w i t h a m u t e x t o t r y a n d p r e v e n t c o n c u r r e n t c a l l s t o j p e g _ d r v _ h y b r i d _ d e c _ l o c k , o r j p e g _ d r v _ h y b r i d _ d e c _ u n l o c k   f r o m r a c i n g w i t h e a c h o t h e r . A f t e r l o c k i n g t h e c o r e , j p e g _ d r v _ h y b r i d _ d e c _ s t a r t   s e t s u p t h e d a t a s t r u c t u r e s t o b e u t i l i z e d f o r t h e d e c o d i n g o p e r a t i o n : s w i t c h ( c m d )                                   . . .                                 i f ( j p e g _ d r v _ h y b r i d _ d e c _ l o c k ( . . . } s t a t i c   i n t   j p e g _ d r v _ h y b r i d _ d e c _ s t a r t ( u n s i g n e d   i n t   d a t a [ ] , u n s i g n e d   i n t   i d , i n t   * i n d e x _ b u f _ f d )                 i f   ( ! b u f I n f o [ i d ] . i _ d b u f )                   r e t   =   j p g _ d m a b u f _ g e t _ i o v a ( b u f I n f o [ i d ] . o _ d b u f ,                   J P E G _ L O G ( 1 ,   o b u f _ i o v a : 0 x % l l x l s b : 0 x % l x m s b : 0 x % l x ,   o b u f _ i o v a ,                                 ( u n s i g n e d   l o n g ) ( u n s i g n e d   c h a r * ) o b u f _ i o v a ,                                 ( u n s i g n e d   l o n g ) ( u n s i g n e d   c h a r * ) ( o b u f _ i o v a > > 3 2 ) ) ;                 p t r   =   j p g _ d m a b u f _ v m a p ( b u f I n f o [ i d ] . o _ d b u f ) ;                 i f   ( p t r   ! =   N U L L                   j p g _ d m a b u f _ v u n m a p ( b u f I n f o [ i d ] . o _ d b u f ,   p t r ) ;                 j p g _ g e t _ d m a b u f ( b u f I n f o [ i d ] . o _ d b u f ) ;                 / / g e t o b u f f o r a d d i n g r e f e r e n c e c o u n t , a v o i d e a r l y r e l e a s e i n u s e r s p a c e .                 * i n d e x _ b u f _ f d   =   j p g _ d m a b u f _ f d ( b u f I n f o [ i d ] . o _ d b u f ) ;                 r e t   =   j p g _ d m a b u f _ g e t _ i o v a ( b u f I n f o [ i d ] . i _ d b u f ,                   J P E G _ L O G ( 1 ,   i b u f _ i o v a 0 x % l l x l s b : 0 x % l x m s b : 0 x % l x ,   i b u f _ i o v a ,                                 ( u n s i g n e d   l o n g ) ( u n s i g n e d   c h a r * ) i b u f _ i o v a ,                                 ( u n s i g n e d   l o n g ) ( u n s i g n e d   c h a r * ) ( i b u f _ i o v a > > 3 2 ) ) ;                 i f   ( r e t   ! =   0 )                   . . .                 r e t u r n   r e t ; } F i n a l l y , u t i l i z i n g a n i o c t l c a l l t o J P E G _ D E C _ I O C T L _ H Y B R I D _ W A I T   ( w h i c h c a l l s j p e g _ d r v _ h y b r i d _ d e c _ u n l o c k ) , r e s o u r c e s a s s o c i a t e d w i t h t h e c o r e a r e f r e e d , a n d t h e c o r e i s r e l e a s e d b a c k t o b e u s e d i n f u t u r e o p e r a t i o n s . c a s e J P E G _ D E C _ I O C T L _ H Y B R I D _ W A I T :                                 . . .                                 i f ( c o p y _ f r o m _ u s e r (                                                                                 J P E G _ L O G ( 1 ,   J P E G H y b r i d D e c o d e r W a i t R e s u m e T i m e : % l d ,                                                                 t i m e o u t _ j i f f ) ;                                 h w i d   =   p n s P a r m a s . h w i d ;                                 i f ( h w i d     0   | |   h w i d   > =   H W _ C O R E _ N U M B E R )                                   i f ( ! d e c _ h w l o c k e d [ h w i d ] )                                   i f ( j p e g _ i s r _ h y b r i d _ d e c _ l i s r ( h w i d )     0 )                                                   }   w h i l e ( r e t     0                                   }                                 . . .                                 i f ( c o p y _ t o _ u s e r ( p n s P a r m a s . p r o g r e s s _ n _ s t a t u s ,                                   b r e a k ;                                 . . . } . . . s t a t i c   v o i d   j p e g _ d r v _ h y b r i d _ d e c _ u n l o c k ( u n s i g n e d   i n t   h w i d )   e l s e                   m u t e x _ u n l o c k ( } j p e g _ d r v _ h y b r i d _ d e c _ u n l o c k   i s a l s o c a l l e d i n t h e e v e n t t h a t j p e g _ d r v _ h y b r i d _ d e c _ s t a r t   f a i l s . W h i l e t h e j p e g _ h y b r i d _ d e c _ l o c k   m u t e x p r o t e c t s t h e d i r e c t c o r e l o c k i n g a n d u n l o c k i n g , i t d o e s n o t p r o t e c t t h e b o d y o f t h e j p e g _ d r v _ h y b r i d _ d e c _ s t a r t   f u n c t i o n . T h i s m e a n s t h a t w h i l e t h e r e c a n n o t b e c o n c u r r e n t c a l l s t o b o t h j p e g _ d r v _ h y b r i d _ d e c _ l o c k   a n d j p e g _ d r v _ h y b r i d _ d e c _ u n l o c k , t h e r e c a n   b e c o n c u r r e n t c a l l s t o j p e g _ d r v _ h y b r i d _ d e c _ s t a r t   a n d j p e g _ d r v _ h y b r i d _ d e c _ u n l o c k   w h i c h i n p r a c t i c e i s j u s t a s b a d , a s t h e s e t w o f u n c t i o n s r a c i l y a c c e s s t h e s a m e g l o b a l d a t a s t r u c t u r e b u f I n f o . O n e s m a l l a d d e d c o m p l i c a t i o n f o r t h i s b u g i s t h a t i n o r d e r t o r e a c h t h e j p e g _ d r v _ h y b r i d _ d e c _ u n l o c k   i n t h e J P E G _ D E C _ I O C T L _ H Y B R I D _ W A I T   c a l l , t h e c o r e m u s t b e l o c k e d b e f o r e t h e t i m e o u t d u e t o a c h e c k t o e n s u r e t h a t t h e c o r e i s l o c k e d b e f o r e a t t e m p t i n g t o w a i t o n t h e c o r e . A n e x a m p l e o f t h i s r a c e i n p r a c t i c e w i t h t w o p r o c e s s e s A a n d B w o u l d b e ( c o l o r i z e d r e s p e c t i v e t o t h e a b o v e c o d e ) : P r o c e s s A : C a l l s i o c t l J P E G _ D E C _ I O C T L _ H Y B R I D _ S T A R T , w h i c h l o c k s c o r e 0   w i t h j p e g _ d r v _ h y b r i d _ d e c _ l o c k   a n d e n t e r s j p e g _ d r v _ h y b r i d _ d e c _ s t a r t P r o c e s s B : C a l l s i o c t l J P E G _ D E C _ I O C T L _ H Y B R I D _ W A I T , w h i c h c o n f i r m s t h a t c o r e 0 i s l o c k e d   t h e n b e g i n s a 3 s e c o n d w a i t   f o r t h e c o r e t o s e n d a n i n t e r r u p t d e n o t i n g c o m p l e t i o n o f t h e d e c o d i n g r e q u e s t . P r o c e s s A : F a i l s j p e g _ d r v _ h y b r i d _ d e c _ s t a r t , ( a f t e r i n i t i a l i z i n g s o m e o f t h e d a t a s t r u c t u r e s ) , c a l l s j p e g _ d r v _ h y b r i d _ d e c _ u n l o c k o n c o r e 0   f r e e i n g a n y a l l o c a t e d r e s o u r c e s , a n d r e t u r n s t o u s e r l a n d . [ w a i t ~ 3 s e c o n d s ] P r o c e s s A : C a l l s i o c t l J P E G _ D E C _ I O C T L _ H Y B R I D _ S T A R T , w h i c h l o c k s c o r e 0   w i t h j p e g _ d r v _ h y b r i d _ d e c _ l o c k   a n d e n t e r s j p e g _ d r v _ h y b r i d _ d e c _ s t a r t P r o c e s s B : 3 s e c o n d w a i t t i m e s o u t , a n d t h e J P E G _ D E C _ I O C T L _ H Y B R I D _ W A I T   i o c t l c a l l u n l o c k s c o r e 0 w i t h j p e g _ d r v _ h y b r i d _ d e c _ u n l o c k . [ P r o c e s s A a n d B a r e n o w c o n c u r r e n t l y i n i t i a l i z i n g   a n d f r e e i n g   t h e s a m e d a t a s t r u c t u r e s ] T h i s c a n l e a d t o a v a r i e t y o f u s e a f t e r f r e e o r d o u b l e f r e e c o n d i t i o n s , d e p e n d i n g o n h o w p r o c e s s A a n d B r a c e . T h e J o u r n e y t o r o o t T h e n e x t s t e p w a s t o t r y t o e x p l o i t t h e s e i s s u e s . M y f i r s t a t t e m p t t a r g e t e d t h e O O B w r i t e i s s u e , C V E 2 0 2 3 3 2 8 3 7 . I w a s a b l e t o d e v e l o p t h e p r i m i t i v e f r o m a n u n c o n t r o l l e d O O B r e a d / w r i t e i n t h e k e r n e l . d a t a r e g i o n i n t o a r a c y w r i t e o f n u l l b y t e s a t a p r e d e t e r m i n e d o f f s e t i n a k e r n e l t a s k s t a c k u s e d b y a n a t t a c k e r c o n t r o l l e d p r o c e s s . A t t h i s p o i n t i t w a s p o s s i b l e t o o v e r w r i t e a k e r n e l s t a c k e n t r y w i t h n u l l s d u r i n g a n y s y s c a l l w h i c h f e l t t o m e l i k e e n o u g h f l e x i b i l i t y t o c r e a t e a f u l l e x p l o i t . H o w e v e r , d e s p i t e m y b e s t e f f o r t s ( i n c l u d i n g t h e c r e a t i o n o f a t o o l t o f i n d w h e r e i n a n a r b i t r a r y b a c k t r a c e t h e w r i t e w o u l d o c c u r ) , I w a s u n a b l e t o d i s c o v e r a t e c h n i q u e t o c r e a t e a b e t t e r p r i m i t i v e f r o m t h i s w r i t e . F a i l i n g t h a t e f f o r t , I d e c i d e d t o t a k e a l o o k a t t h e o t h e r i s s u e i n t h e s a m e d r i v e r C V E 2 0 2 3 3 2 8 3 2 . D u r i n g t h e f r e e i n g s t e p t h a t r a c e s w i t h j p e g _ d r v _ h y b r i d _ d e c _ s t a r t , j p e g _ d r v _ h y b r i d _ d e c _ u n l o c k   d r o p s a c c e s s t o f o u r s e p a r a t e r e s o u r c e s : j p g _ d m a b u f _ f r e e _ i o v a ( b u f I n f o [ h w i d ] . i _ d b u f , b u f I n f o [ h w i d ] . i _ a t t a c h ,   b u f I n f o [ h w i d ] . i _ s g t ) ; / / T h e i n p u t b u f f e r v i r t u a l a d d r e s s m a p p i n g i n t h e c o r e j p g _ d m a b u f _ f r e e _ i o v a ( b u f I n f o [ h w i d ] . o _ d b u f , b u f I n f o [ h w i d ] . o _ a t t a c h ,   b u f I n f o [ h w i d ] . o _ s g t ) ; / / T h e o u t p u t b u f f e r v i r t u a l a d d r e s s m a p p i n g i n t h e c o r e j p g _ d m a b u f _ p u t ( b u f I n f o [ h w i d ] . i _ d b u f ) ; / / T h e i n p u t b u f f e r f i l e s r e f c o u n t i s d e c r e m e n t e d . T h i s b u f f e r w a s p r e v i o u s l y a l l o c a t e d b y t h e a t t a c k e r a n d i s a s s o c i a t e d w i t h a f i l e d e s c r i p t o r . j p g _ d m a b u f _ p u t ( b u f I n f o [ h w i d ] . o _ d b u f ) ; / / T h e o u t p u t b u f f e r f i l e s r e f c o u n t i s d e c r e m e n t e d . T h i s b u f f e r w a s p r e v i o u s l y a l l o c a t e d d u r i n g j p e g _ d r v _ h y b r i d _ d e c _ s t a r t . O n e c r i t i c a l b e h a v i o r o f t h e d r i v e r t h a t e n h a n c e d e x p l o i t a b i l i t y w a s t h a t a l t h o u g h j p e g _ d r v _ h y b r i d _ d e c _ u n l o c k   p r o p e r l y d r o p s t h e r e f c o u n t s o f i _ d b u f   a n d o _ d b u f , i t d o e s n o t   r e i n i t i a l i z e t h o s e e n t r i e s i n t h e b u f I n f o   g l o b a l a r r a y t o N U L L . A s i t r e l a t e s t o t h e r a c e , t h i s m e a n s t h a t i f P r o c e s s B ’ s r a c y j p e g _ d r v _ h y b r i d _ d e c _ u n l o c k   o c c u r s b e f o r e P r o c e s s A ’ s s e c o n d j p e g _ d r v _ h y b r i d _ d e c _ s t a r t   r e i n i t i a l i z e s i _ d b u f   a n d o _ d b u f , a n e x t r a r e f c o u n t o f i _ d b u f   a n d o _ d b u f   w i l l b e r e l e a s e d . S i n c e i _ d b u f   a n d o _ d b u f   a r e s t r u c t f i l e * ’ s , t h i s c a n l e a d d i r e c t l y t o a s t r u c t f i l e   U A F . A s t h e i _ d b u f   s t r u c t   f i l e   c o m e s d i r e c t l y f r o m a d m a b u f   f i l e d e s c r i p t o r p a s s e d i n t o j p e g _ d r v _ h y b r i d _ d e c _ s t a r t , t h i s l e a d s t o a d a n g l i n g f i l e d e s c r i p t o r   w i t h t h e s t r u c t f i l e   f r e e d f r o m u n d e r n e a t h i t . T h i s i s u n d o u b t e d l y a n e x p l o i t a b l e b u g . T h e r e a r e s e v e r a l d i f f e r e n t t e c h n i q u e s f o r e x p l o i t i n g a d a n g l i n g f i l e d e s c r i p t o r . O n e w i d e l y u s e d s t r a t e g y i s c a u s i n g t h e b a c k i n g s l a b p a g e o f t h e s t r u c t f i l e t o b e f r e e d a n d r e t u r n e d b a c k t o t h e p a g e a l l o c a t o r , t h e n r e a l l o c a t i n g t h a t p a g e w i t h p i p e b u f f e r   d a t a p a g e s i n o r d e r t o g a i n a t t a c k e r c o n t r o l o v e r t h e m e m o r y u s e d f o r t h e s t r u c t f i l e . A n o t h e r w e l l k n o w n s t r a t e g y w o u l d b e t o u t i l i z e t h e c r o s s c a c h e t e c h n i q u e t o r e a l l o c a t e t h e m e m o r y a s a d i f f e r e n t k i n d o f k m a l l o c s l a b / o b j e c t . H o w e v e r , i n t h e f u t u r e b o t h o f t h e s e t e c h n i q u e s m a y b e r e m e d i a t e d i f t h e S L A B _ V I R T U A L m i t i g a t i o n   c o m e s i n t o e f f e c t i n t h e m a i n l i n e L i n u x k e r n e l . I n t h e i n t e r e s t o f e x p l o r i n g t h e f u t u r e o f A n d r o i d k e r n e l h a c k i n g , I s o u g h t a n o v e l e x p l o i t a t i o n t e c h n i q u e w h i c h d i d n o t i n v o l v e c r o s s c a c h e o r s l a b c a c h e p a g e a l l o c a t o r h e a p s h a p i n g t e c h n i q u e s . S o m e O t h e r N o v e l E x p l o i t a t i o n T e c h n i q u e O n e o f t h e m o s t c o m m o n U A F e x p l o i t t e c h n i q u e s i n v o l v e s r e a l l o c a t i n g t h e f i r s t o r d e r f r e e d o b j e c t w i t h a n e w o b j e c t o f a d i f f e r e n t t y p e , c r e a t i n g a t y p e c o n f u s i o n c o n d i t i o n w h i c h l e a d s t o a n i m p r o v e d m e m o r y c o r r u p t i o n p r i m i t i v e . H o w e v e r t h e o n l y t y p e o f o b j e c t t h a t c a n b e a l l o c a t e d i n a p a g e d e s i g n a t e d f o r t h e s t r u c t f i l e   c a c h e i s t h e s t r u c t f i l e   t y p e , s o t h e o p t i o n s f o r c r e a t i n g a t y p e c o n f u s i o n m e m o r y c o r r u p t i o n c o n d i t i o n u s i n g f i r s t o r d e r o b j e c t r e c l a m a t i o n a r e l i m i t e d . H o w e v e r , j u s t b e c a u s e a n o b j e c t i s f r e e d d o e s n o t p r e c l u d e i t f r o m b e i n g u s a b l e u n d e r l i m i t e d c i r c u m s t a n c e s . W h e n t h e k e r n e l i n s e r t s a n o b j e c t o n t o a f r e e l i s t , t h i s c l o b b e r s   t h e m i d d l e   o f t h e o b j e c t . T h e r e s t o f t h e o b j e c t h o w e v e r , r e m a i n s i n w h a t e v e r s t a t e i t w a s i n a t t h e m o m e n t i t w a s f r e e d , i n c l u d i n g p o i n t e r s a n d a n y o t h e r m e m b e r v a r i a b l e s . T h o s e s t a l e p o i n t e r s c a n ( a n d i n p r a c t i c e o f t e n d o ) p o i n t t o o t h e r f r e e d o b j e c t s w h i c h m a y b e a l l o c a t e d f r o m a d i f f e r e n t s l a b c a c h e e n t i r e l y , p o t e n t i a l l y i n c l u d i n g t h e g e n e r i c k m a l l o c s l a b c a c h e s . N o t e t h a t u n d e r t h e C i s m   w h e r e p o i n t e r s a r e s e t t o N U L L   a f t e r f r e e i n g , t h e s e s t a l e p o i n t e r s w o u l d n ’ t e x i s t .   H o w e v e r a s t h e m e m o r y c o n t a i n i n g t h e p o i n t e r i s g e t t i n g f r e e d a n y w a y , s e t t i n g t h e s e p o i n t e r s t o N U L L   i s o f t e n s e e n a s u n n e c e s s a r i l y c o n s e r v a t i v e ( a n d i n f a c t , C c o m p i l e r s o f t e n t h r o w a w a y w r i t e s t o o b j e c t s t h a t a r e a b o u t t o b e f r e e d ) . B y c o n t i n u i n g t o u s e t h i s f r e e d f i r s t o r d e r   o b j e c t , w e c a n i m p l i c i t l y a c c e s s f r e e d s e c o n d o r d e r   c h i l d o b j e c t s . B y r e c l a i m i n g t h o s e   o b j e c t s , w e c a n r e c r e a t e a t y p e c o n f u s i o n m e m o r y c o r r u p t i o n p r i m i t i v e , t a k i n g a d v a n t a g e o f h o w t h e m e t h o d s c a l l e d o n t h e f i r s t o r d e r f r e e d o b j e c t i m p l i c i t l y a c c e s s t h e s e c o n d o r d e r c h i l d o b j e c t . L e t ’ s s e e h o w w e c a n a p p l y t h i s t o o u r s p e c i f i c s c e n a r i o . L i n u x k e r n e l s t r u c t f i l e s m a y r e p r e s e n t m a n y d i f f e r e n t t y p e s o f f i l e s d e p e n d i n g o n t h e k i n d o f o p e n e d f i l e s u c h a s e x t 4 f i l e s , p r o c f s f i l e s , o r e v e n M e d i a T e k J P E G d e c o d i n g d r i v e r f i l e s . I n o r d e r t o r e p r e s e n t a l l o f t h e s e d i f f e r e n t t y p e s w h i l e a l s o m a i n t a i n i n g s o m e c o m m o n a l i t y o f s t r u c t u r e f o r t h e u n i v e r s a l l y n e e d e d m e m b e r s o f a n o p e n e d f i l e , s t r u c t f i l e   c o n t a i n s a p r i v a t e _ d a t a   m e m b e r w h i c h r e f e r e n c e s a n y t y p e s p e c i f i c d a t a n e e d e d . A s m e n t i o n e d p r e v i o u s l y , t h e U A F ’ d s t r u c t f i l e   i n t h i s c a s e i s a d m a b u f   f i l e . T h i s m e a n s t h e p r i v a t e _ d a t a   p o i n t e r p o i n t s t o a s t r u c t d m a _ b u f   o b j e c t . T h e d m a _ b u f   o b j e c t l i f e t i m e i s i m p l i c i t l y t i e d t o t h e l i f e t i m e o f t h e a s s o c i a t e d d m a b u f   f i l e s t r u c t . W h e n t h e d m a b u f s t r u c t f i l e   i s f r e e d , t h e d m a _ b u f   o b j e c t i s f r e e d t o o . H o w e v e r u n l i k e   t h e s t r u c t f i l e , d m a _ b u f   o b j e c t s a r e a l l o c a t e d f r o m t h e g e n e r i c k m a l l o c s l a b c a c h e s . T h i s m e a n s t h a t t h e d m a _ b u f   c a n b e r e c l a i m e d w i t h a d i f f e r e n t t y p e o b j e c t t h a t c o m e s f r o m t h e s a m e g e n e r i c k m a l l o c s l a b c a c h e . A f t e r a h y p o t h e t i c a l r e c l a m a t i o n b y a n e w o b j e c t , t h i s n e w o b j e c t c a n s t i l l b e U A F r e f e r e n c e d a s   a d m a _ b u f   t h r o u g h t h e f r e e d b u t s t i l l v e r y u s a b l e d m a b u f s t r u c t f i l e   t h a t i t s e l f i s r e f e r e n c e d v i a t h e d a n g l i n g f i l e d e s c r i p t o r ! T h u s w e a r r i v e a t t h e f o l l o w i n g s t r a t e g y : F r e e t h e f i l e b y u s i n g o u r r a c e c o n d i t i o n b u g t o d r o p a n e x t r a r e f e r e n c e o n i _ d b u f   ( w h i c h a l s o f r e e s t h e d m a _ b u f ) , l e a v i n g a d a n g l i n g f d   p o i n t i n g t o a f r e e d s t r u c t f i l e   w h i c h s t i l l h a s a s t a l e p o i n t e r t o a f r e e d d m a _ b u f R e c l a i m t h e d m a _ b u f   W I T H O U T r e c l a i m i n g t h e s t r u c t f i l e C a l l d m a _ b u f   o p e r a t i o n s o n t h e d a n g l i n g f d Y o u m a y h a v e a s t u t e l y n o t e d b y t h i s p o i n t t h a t t h i s s t r a t e g y r e l i e s o n a f r e e d o b j e c t ( t h a t i s , t h e s t r u c t f i l e ) n o t b e i n g r e c l a i m e d a s a n o t h e r o b j e c t b y t h e h e a p a l l o c a t o r . T h i s i s a b s o l u t e l y c o r r e c t , a n d o n e w o u l d e x p e c t t h a t i n a n e x p l o i t w h e r e e x c e p t i o n a l r e l i a b i l i t y i s a p r i o r i t y , i t m a y b e n e c e s s a r y t o p e r f o r m s o m e h e a p s h a p i n g i n o r d e r t o b u r y t h i s f r e e d s t r u c t f i l e   d e e p l y i n t h e a l l o c a t o r f r e e l i s t s . I n p r a c t i c e ( a n d i n m y e x p l o i t ) , t h e f r e e d s t r u c t f i l e   w i l l r a r e l y b e o n t h e p e r c p u a c t i v e s l a b s o i t ’ s u n l i k e l y t o g e t r e c l a i m e d i m m e d i a t e l y , a n d m y e x p l o i t g e n e r a l l y r u n s f a s t e n o u g h t h a t i t d o e s n ’ t m a t t e r . A t t h i s p o i n t w e n o w n e e d t o d e t e r m i n e w h a t o b j e c t t o u s e i n o r d e r t o r e c l a i m t h e f r e e d d m a _ b u f , a s w e l l a s w h a t o p e r a t i o n t o c a l l o n t h e f r e e d d m a _ b u f   f i l e / o b j e c t t o d e v e l o p a s t r o n g e r p r i m i t i v e . I e n d e d u p f i n d i n g t h e s o l u t i o n s t o b o t h o f t h e s e p r o b l e m s i n t h e G E D d r i v e r . T h e G E D d r i v e r T h e G E D ( G P U E x t e n s i o n D e v i c e ) d r i v e r i s a M e d i a T e k s p e c i f i c i n t e r f a c e t h a t p r o v i d e s u s e r l a n d w i t h s e v e r a l s u p p l e m e n t a r y G P U f e a t u r e s , p r i m a r i l y f o r t u n i n g p u r p o s e s . T w o o f i t s “ f e a t u r e s ” a p p e a r e d p a r t i c u l a r l y v a l u a b l e . F e a t u r e n u m b e r o n e , G E D G E B u f f e r s , p r e s e n t e d a t r u l y r e m a r k a b l e h e a p s p r a y a n d r e c l a m a t i o n p r i m i t i v e . T h i s f e a t u r e p r o v i d e s s e v e r a l r e q u i s i t e c h a r a c t e r i s t i c s o f a s u i t a b l e h e a p s p r a y p r i m i t i v e : A l l o c a t e s b u f f e r s o f a c o n t r o l l e d s i z e w i t h o u t c a u s i n g u n d u e n o i s e f o r t h e r e s t o f t h e h e a p . B u f f e r d a t a i s f u l l y a t t a c k e r c o n t r o l l e d , w i t h n o u n c o n t r o l l e d h e a d e r a t t h e b e g i n n i n g B u f f e r s c a n b e f r e e d a t a n y t i m e . O n e s t a n d o u t c h a r a c t e r i s t i c t h a t e l e v a t e s t h i s h e a p s p r a y p r i m i t i v e a b o v e m a n y o f i t s p e e r s h o w e v e r , i s t h a t e v e n o n c e a l l o c a t e d , t h e a t t a c k e r c a n r e a d a n d w r i t e t o t h e s e b u f f e r s a t w i l l w h i l e k e e p i n g t h e b u f f e r a l l o c a t e d .   T h i s i s a b o u t a s p o w e r f u l a h e a p s p r a y p r i m i t i v e a s o n e c o u l d i m a g i n e . B y r e c l a i m i n g t h e U A F ’ d d m a _ b u f   s t r u c t w i t h a G E D G E b u f f e r , w e g a i n f u l l y d e t e r m i n i s t i c r e a d / w r i t e o v e r t h e d m a _ b u f   s t r u c t , i n c l u d i n g a n y p o i n t e r s c o n t a i n e d t h e r e i n . F e a t u r e n u m b e r t w o i s a n a l t e r n a t e c o d e p a t h t o t h e s a m e f u n c t i o n a l i t y a s t h e D M A _ B U F _ S E T _ N A M E   i o c t l , w h i c h i s ( v e r y s e n s i b l y ) u s e d t o s e t t h e n a m e o f a d m a _ b u f . T h e b i g g e s t d i f f e r e n c e b e t w e e n t h e s e p a t h s i s t h e G E D c o d e p a t h ’ s l a c k o f S E L i n u x i n o d e c h e c k s o n t h e u n d e r l y i n g d m a _ b u f   f d . T h e s e i n o d e c h e c k s w o u l d n o r m a l l y c r a s h t h e k e r n e l w h e n t h e y r u n o n a f r e e d s t r u c t f i l e   h o w e v e r b e c a u s e o f t h e G E D c o d e p a t h , w e c a n s k i p t h i s i n o d e c h e c k , a n d c h a n g e t h e d m a _ b u f ’ s n a m e d e s p i t e r u n n i n g o n a f r e e d d m a _ b u f   f i l e ! N o r m a l l y , t h i s c o d e w o u l d f r e e t h e p o i n t e r t o t h e p r e v i o u s n a m e w i t h i n t h e d m a _ b u f   s t r u c t a n d a l l o c a t e a n e w b u f f e r f o r t h e n a m e s t r i n g . H o w e v e r , b e c a u s e o f G E D G E b u f f e r s w e a r e a b l e t o c o n t r o l t h e e n t i r e t y o f t h e d m a _ b u f   s t r u c t . B y c o m b i n i n g t h e s e p r i m i t i v e s , w e c a n k f r e e   a n a r b i t r a r y p o i n t e r   b e f o r e s e t t i n g a n e w n a m e s t r i n g . l o n g   m t k _ d m a _ b u f _ s e t _ n a m e ( s t r u c t   d m a _ b u f   * d m a b u f ,   c o n s t   c h a r   * b u f ) A c h i e v i n g a r b i t r a r y r e a d I n n o c u o u s d m a b u f   f i l e o p e r a t i o n s b e c o m e p o t e n t p r i m i t i v e s n o w t h a t w e h a v e p r e c i s e c o n t r o l o f t h e d m a _ b u f   s t r u c t . F o r e x a m p l e , t h i s i s t h e c o d e b a c k i n g / p r o c / p i d / f d i n f o / n   f o r d m a b u f   f i l e s : s t a t i c   v o i d   d m a _ b u f _ s h o w _ f d i n f o ( s t r u c t   s e q _ f i l e   * m ,   s t r u c t   f i l e   * f i l e ) T h e r e a r e s e v e r a l o p p o r t u n i t i e s i n t h i s f u n c t i o n f o r a c h i e v i n g a r b i t r a r y r e a d , b u t t h e c l e a n e s t o n e i s t h e f i l e _ c o u n t ( )   c a l l , w h i c h w i l l d e r e f e r e n c e t h e p a s s e d p o i n t e r + a h a r d c o d e d o f f s e t , a n d p r i n t t h e r e a d 8 b y t e v a l u e a s a s i g n e d l o n g . N o r m a l l y i n t h e c o n t e x t o f t h i s C f u n c t i o n , f i l e = = ( ( s t r u c t d m a _ b u f * ) f i l e p r i v a t e _ d a t a ) f i l e   , b u t s i n c e w e c o n t r o l t h e d m a _ b u f   s t r u c t t h a t i s n ’ t n e c e s s a r i l y t h e c a s e . A c h i e v i n g a r b i t r a r y w r i t e A t t h i s p o i n t w e h a v e t h r e e p o w e r f u l p r i m i t i v e s : R e a d / w r i t e U A F ’ d d m a _ b u f   s t r u c t m e m o r y ( v i a G E D G E b u f f e r s ) A r b i t r a r y r e a d ( v i a d m a _ b u f _ s h o w _ f d i n f o ) A r b i t r a r y f r e e ( v i a g e d _ d m a b u f _ s e t _ n a m e ) T h e r e a r e m a n y p o t e n t i a l s t r a t e g i e s t h a t u s e t h e s e p r i m i t i v e s t o a c h i e v e a n a r b i t r a r y w r i t e p r i m i t i v e . T h e t e c h n i q u e I c h o s e w a s t o t y p e c o n f u s e a G E b u f f e r w i t h a G E b u f f e r a r r a y . G E D G E B u f f e r s a r e t r a c k e d t h r o u g h a h i e r a r c h y o f s t r u c t s a n d a r r a y s . A G E f i l e ’ s p r i v a t e _ d a t a   m e m b e r p o i n t s t o a n a r r a y o f G E b u f f e r p o i n t e r s l i k e s o : I a c h i e v e t h i s t y p e c o n f u s i o n b y u s i n g t h e a r b i t r a r y f r e e p r i m i t i v e d e v e l o p e d p r e v i o u s l y t o f r e e a G E b u f f e r a r r a y , t h e n r e c l a i m i n g t h a t a r r a y w i t h a G E b u f f e r f r o m a s e c o n d G E f i l e . S i n c e t h e G E b u f f e r a r r a y ( a n d G E b u f f e r s a s w e l l ) c o m e f r o m g e n e r i c k m a l l o c c a c h e s , t h e o n l y r e q u i r e m e n t f o r t h i s r e c l a m a t i o n i s a l l o c a t i n g G E b u f f e r s t h a t a r e t h e s a m e s i z e a s a G E b u f f e r a r r a y . I f t w o G E f i l e s a r e r e f e r e n c i n g t h e s a m e m e m o r y , o n e ( G E f i l e A ) a s a G E b u f f e r , a n d o n e ( G E f i l e B ) a s a G E b u f f e r a r r a y , I c a n m o d i f y t h e c o n t e n t s o f a G E b u f f e r a r r a y a t w i l l . T h e n p e r f o r m i n g a n a r b i t r a r y w r i t e t o a v i r t u a l a d d r e s s X w i l l b e a s s i m p l e a s u s i n g G E f i l e A ’ s G E b u f f e r t o c h a n g e t h e c o n t e n t s o f t h e a r r a y t o p o i n t t o t h e v i r t u a l a d d r e s s X , t h e n w r i t i n g t o t h a t a d d r e s s u s i n g G E f i l e B w h i c h n o w t h i n k s v i r t u a l a d d r e s s X i s a G E b u f f e r ! T h i s t e c h n i q u e h i n g e s o n b e i n g a b l e t o u s e t h e a r b i t r a r y f r e e p r i m i t i v e t o f r e e a G E b u f f e r a r r a y . T o d o t h a t , i t ’ s n e c e s s a r y t o f i n d t h e v i r t u a l a d d r e s s   o f a G E b u f f e r a r r a y f i r s t . S i n c e w e h a v e a n a r b i t r a r y r e a d p r i m i t i v e a l r e a d y , a n y   p a r e n t s t r u c t / o b j e c t / a r r a y o f a G E b u f f e r a r r a y w i l l b e e n o u g h t o f i n d t h e v i r t u a l a d d r e s s o f a G E b u f f e r a r r a y i t s e l f . T h e h i e r a r c h y i s a s f o l l o w s : G E a r r a y s a r e r e f e r e n c e d b y a G E f i l e G E f i l e s a r e r e f e r e n c e d b y a n f d t a b l e   a s a f i l e d e s c r i p t o r A n f d t a b l e   i s r e f e r e n c e d b y a t a s k s t r u c t T a s k s t r u c t s   a r e r e f e r e n c e d a s p a r t o f t h e t a s k l i s t w i t h t h e r o o t n o d e b e i n g t h e i n i t   t a s k i n t h e k e r n e l i m a g e T h e f d t a b l e   r e p r e s e n t s a n a t t r a c t i v e o b j e c t t o f i n d , a s i t c o m e s o u t o f t h e s a m e g e n e r i c k m a l l o c c a c h e a s d m a _ b u f   n a m e s t r i n g s . W e c a n f i n d a d m a _ b u f   n a m e s t r i n g ’ s v i r t u a l a d d r e s s b y u s i n g d m a _ b u f _ s e t _ n a m e   ( w h i c h w e a l s o u s e a s o u r a r b i t r a r y f r e e p r i m i t i v e ) t o i n s e r t a p o i n t e r t o a d m a _ b u f   n a m e s t r i n g i n t o t h e r e c l a i m e d U A F ’ d d m a _ b u f   o b j e c t t h a t i s n o w a G E b u f f e r . W e t h e n s i m p l y r e a d i t o u t o f o u r G E b u f f e r , f r e e t h a t d m a _ b u f   n a m e s t r i n g ( a g a i n u s i n g d m a _ b u f _ s e t _ n a m e ) , a n d r e c l a i m i t w i t h a n f d t a b l e . C r e a t i n g f d t a b l e s i s f a i r l y e a s y w e s i m p l y f o r k   m a n y p r o c e s s e s a h e a d o f t i m e t h a t s h a r e a n f d t a b l e , t h e n u n s h a r e ( 2 )   t h e f d t a b l e   a t t h e a p p r o p r i a t e t i m e t o a l l o c a t e n e w f d t a b l e s . T h e f u l l e x p l o i t s t r a t e g y i s a s f o l l o w s : T r i g g e r a d a n g l i n g f d   o f a d m a b u f   f i l e   u s i n g o u r m t k j p e g r a c e c o n d i t i o n b u g R e c l a i m   t h e u n d e r l y i n g d m a _ b u f   l e a v i n g t h e p a r e n t d m a b u f   f i l e f r e e   ( b u t s t i l l r e f e r e n c e d b y a d a n g l i n g f i l e d e s c r i p t o r ) U s e g e d _ d m a b u f _ s e t _ n a m e   o n o u r d a n g l i n g f i l e t o p l a c e a n e w n a m e p o i n t e r i n t h e f a k e d m a _ b u f   s t r u c t R e a d   t h e f a k e d m a _ b u f   s t r u c t ( w h i c h i s r e a l l y a G E b u f f e r ) t o g e t t h e n a m e p o i n t e r F r e e   t h e n a m e p o i n t e r   b y c a l l i n g g e d _ d m a b u f _ s e t _ n a m e   a g a i n R e c l a i m   t h e n a m e p o i n t e r a s a n f d t a b l e   w i t h r e f e r e n c e s t o a G E f d w i t h a n a r r a y o f G E b u f f e r s U s e t h e a r b i t r a r y r e a d   t o f i n d t h e G E b u f f e r a r r a y U s e t h e a r b i t r a r y f r e e   t o f r e e t h e G E b u f f e r a r r a y R e c l a i m   t h e G E b u f f e r a r r a y   w i t h a n o t h e r G E b u f f e r A t t h e e n d o f t h i s p r o c e s s w e ’ l l h a v e a r e l i a b l e a r b i t r a r y r e a d / w r i t e ! G e t t i n g a r o o t s h e l l A s a f u n e x e r c i s e , I d e c i d e d t o s e e h o w e a s y i t w a s t o d i s a b l e S E L i n u x a n d g e t r o o t a f t e r a c h i e v i n g a r b i t r a r y r e a d / w r i t e . V a r i o u s m a n u f a c t u r e r s m a y i m p l e m e n t c e r t a i n t r i p p i n g h a z a r d s t o s l o w d o w n e x p l o i t d e v e l o p m e n t e f f o r t s , b u t i n m y c a s e ( A s u s R O G 6 D ) , t h e r e w e r e n o h o o p s I n e e d e d t o j u m p t h r o u g h a t a l l . I t w a s e n o u g h t o s i m p l y w r i t e 0 t o t h e u i d / g i d   o f m y p r o c e s s ’ s c r e d   s t r u c t t o a c h i e v e r o o t , a n d w r i t e 0 t o t h e s e l i n u x _ e n f o r c i n g   b i t t o t u r n o f f S E L i n u x . A f t e r t h i s I j u s t e x e c l p ( “ / s y s t e m / b i n / s h ” , . . . ) a n d o u t p o p s a r o o t s h e l l ! C o n c l u s i o n I d i s c o v e r e d s i g n i f i c a n t s e c u r i t y v u l n e r a b i l i t i e s a c r o s s a l l 3 o f t h e e v a l u a t e d d e v i c e s . I t i s h i g h l y l i k e l y t h a t r e v i e w i n g m o r e d e v i c e s c o m p r i s i n g a g r e a t e r s p r e a d o f c h i p s e t m a n u f a c t u r e r s w o u l d l e a d t o t h e d i s c o v e r y o f a d d i t i o n a l v u l n e r a b i l i t i e s . A n d r o i d r e g u l a r l y u s e s h i g h e r p r i v i l e g e d p r o c e s s e s t o l i a i s e b e t w e e n a p p l i c a t i o n s a n d k e r n e l d r i v e r s , m e a n i n g t h a t m o s t k e r n e l d r i v e r s c a n n o t b e s e e n f r o m a n u n p r i v i l e g e d a p p c o n t e x t ( t h e G P U b e i n g t h e m o s t o b v i o u s e x c e p t i o n t o t h i s r u l e ) . N e v e r t h e l e s s , a d e t e r m i n e d a t t a c k e r c o u l d u s e v u l n e r a b i l i t i e s i n o t h e r m o r e p r i v i l e g e d p r o c e s s e s t o p i v o t i n t o c o n t e x t s f r o m w h i c h t h e a t t a c k s u r f a c e o f t h e s e k e r n e l d r i v e r s b e c o m e r e a c h a b l e .   T h i s p i v o t s t r a t e g y c o u l d w i d e n t h e a t t a c k s u r f a c e b e y o n d t h e s c o p e o f t h i s r e s e a r c h . A s i t b e c o m e s m o r e d i f f i c u l t t o f i n d 0 d a y s i n c o r e A n d r o i d , t h i r d p a r t y L i n u x k e r n e l d r i v e r s c o n t i n u e t o b e c o m e a m o r e a n d m o r e a t t r a c t i v e t a r g e t f o r a t t a c k e r s . W h i l e t h e b u l k o f p r e s e n t d a y d e t e c t e d I T W A n d r o i d e x p l o i t a t i o n t a r g e t s G P U d r i v e r s , i t ’ s e q u a l l y i m p o r t a n t t h a t o t h e r t h i r d p a r t y d r i v e r s a r e e n c o u r a g e d t o w a r d s t h e s a m e s e c u r i t y s t a n d a r d s . T h e r e i s r o o m f o r i m p r o v e m e n t i n t h e p a t c h i n g p r o c e s s a c r o s s a l l 3 o f t h e b u g s d i s c o v e r e d . N o n e o f t h e p a t c h e s f o r t h e s e b u g s m e t P r o j e c t Z e r o s 9 0 d a y d e a d l i n e f o r p a t c h e s r e a c h i n g e n d u s e r s . T h i s a p p e a r s t o l a r g e l y b e a r e s u l t o f t h e p r o p a g a t i o n d e l a y f r o m w h e n t h i r d p a r t y d r i v e r d e v e l o p e r s i s s u e p a t c h e s t o w h e n d o w n s t r e a m m a n u f a c t u r e r s c a n i n c o r p o r a t e t h o s e p a t c h e s i n t o A n d r o i d s e c u r i t y u p d a t e s . S h o r t e n i n g t h i s p r o p a g a t i o n d e l a y ( e . g . u s i n g A n d r o i d A P E X   t o s h i p u p d a t e d k e r n e l d r i v e r s )   w o u l d g o a l o n g w a y t o m i n i m i z i n g t h e A n d r o i d d r i v e r p a t c h g a p . I n a d d i t i o n , o n e o f t h e s e b u g s w a s o n l y p a r t i a l l y p a t c h e d a n d r e m a i n e d e x p l o i t a b l e o n s o m e d e v i c e s f o r a n a d d i t i o n a l 2 y e a r s b e f o r e t h e s e c u r i t y i m p a c t o f t h e b u g w a s a s s e s s e d a n d p u b l i c l y r e p o r t e d .   D e v e l o p e r s s h o u l d r e g u l a r l y c o n s i d e r t h e s e c u r i t y i m p a c t s o f b u g s , e s p e c i a l l y t h o s e r e p o r t e d b y s t a t i c a n a l y s i s t o o l s d e s i g n e d t o d e t e c t s e c u r i t y r e l e v a n t i s s u e s . F i n a l l y , w h i l e c r o s s c a c h e h e a p s h a p i n g m i t i g a t i o n s s i g n i f i c a n t l y i m p e d e e x p l o i t d e v e l o p m e n t s t r a t e g i e s , t h e y d o n ’ t e n t i r e l y p r e v e n t a d e t e r m i n e d a t t a c k e r f r o m e x p l o i t i n g k e r n e l U A F v u l n e r a b i l i t i e s , e v e n i f t h e U A F ’ d o b j e c t c o m e s o u t o f a d e d i c a t e d s l a b c a c h e . I n t h i s p a r t i c u l a r c a s e , s e c o n d o r d e r a l l o c a t i o n s i n a U A F ’ d o b j e c t l e a d t o p o w e r f u l a n d e x p l o i t a b l e p r i m i t i v e s . D e v e l o p e r s m a y b e a b l e t o m i t i g a t e t h i s t e c h n i q u e b y s e t t i n g p o i n t e r s t o N U L L , e v e n i f t h e p a r e n t o b j e c t i s a b o u t t o g e t f r e e d a n y w a y .   H o w e v e r , t h i s e x p l o i t t e c h n i q u e d e m o n s t r a t e s t h a t e v e n w e l l d e s i g n e d m i t i g a t i o n s ( s u c h a s S L A B _ V I R T U A L ) c o m e w i t h l i m i t a t i o n s i n a n e r a w h e r e a n a t t a c k e r c a n a c h i e v e u n d e t e c t e d m e m o r y c o r r u p t i o n . I t w i l l t a k e m o r e f u n d a m e n t a l m i t i g a t i o n s t h a t a d d r e s s t h e r o o t i s s u e o f m e m o r y c o r r u p t i o n , l i k e M T E , i n o r d e r t o d r a m a t i c a l l y r a i s e t h e b a r f o r a t t a c k e r s . R e s o u r c e s T h i s r e s e a r c h w a s p r e s e n t e d a t S h m o o C o n , a v i d e o i s a v a i l a b l e h e r e h t t p s : / / a r c h i v e . o r g / d e t a i l s / s h m o o c o n 2 0 2 4 / S h m o o c o n 2 0 2 4 S e t h J e n k i n s D r i v i n g _ F o r w a r d _ i n _ A n d r o i d _ D r i v e r s . m p 4 T h e p r o o f o f c o n c e p t e x p l o i t c o d e d e v e l o p e d a n d p r e s e n t e d i n t h i s r e s e a r c h i s a v a i l a b l e a t : h t t p s : / / b u g s . c h r o m i u m . o r g / p / p r o j e c t z e r o / i s s u e s / d e t a i l ? i d = 2 4 7 0 # c 4 P o s t e d b y G o o g l e P r o j e c t Z e r o a t 1 1 : 0 3   A M N o c o m m e n t s : E m a i l T h i s B l o g T h i s ! S h a r e t o T w i t t e r S h a r e t o F a c e b o o k S h a r e t o P i n t e r e s t O l d e r P o s t s H o m e S u b s c r i b e t o : P o s t s ( A t o m ) S e a r c h T h i s B l o g P a g e s A b o u t P r o j e c t Z e r o W o r k i n g a t P r o j e c t Z e r o 0 d a y I n t h e W i l d 0 d a y E x p l o i t R o o t C a u s e A n a l y s e s V u l n e r a b i l i t y D i s c l o s u r e F A Q A r c h i v e s ▼   2 0 2 4 ( 3 ) ▼   J u n e ( 1 ) D r i v i n g f o r w a r d i n A n d r o i d d r i v e r s ►   A p r i l ( 2 ) ►   2 0 2 3 ( 1 1 ) ►   N o v e m b e r ( 1 ) ►   O c t o b e r ( 1 ) ►   S e p t e m b e r ( 1 ) ►   A u g u s t ( 4 ) ►   A p r i l ( 1 ) ►   M a r c h ( 1 ) ►   J a n u a r y ( 2 ) ►   2 0 2 2 ( 1 7 ) ►   D e c e m b e r ( 1 ) ►   N o v e m b e r ( 3 ) ►   O c t o b e r ( 1 ) ►   A u g u s t ( 1 ) ►   J u n e ( 3 ) ►   M a y ( 1 ) ►   A p r i l ( 3 ) ►   M a r c h ( 2 ) ►   F e b r u a r y ( 1 ) ►   J a n u a r y ( 1 ) ►   2 0 2 1 ( 2 4 ) ►   D e c e m b e r ( 2 ) ►   O c t o b e r ( 3 ) ►   S e p t e m b e r ( 1 ) ►   A u g u s t ( 1 ) ►   J u n e ( 1 ) ►   M a y ( 1 ) ►   A p r i l ( 3 ) ►   M a r c h ( 1 ) ►   F e b r u a r y ( 1 ) ►   J a n u a r y ( 1 0 ) ►   2 0 2 0 ( 3 6 ) ►   D e c e m b e r ( 2 ) ►   N o v e m b e r ( 1 ) ►   O c t o b e r ( 2 ) ►   S e p t e m b e r ( 4 ) ►   A u g u s t ( 5 ) ►   J u l y ( 8 ) ►   J u n e ( 2 ) ►   A p r i l ( 3 ) ►   F e b r u a r y ( 4 ) ►   J a n u a r y ( 5 ) ►   2 0 1 9 ( 2 7 ) ►   D e c e m b e r ( 2 ) ►   N o v e m b e r ( 1 ) ►   O c t o b e r ( 2 ) ►   S e p t e m b e r ( 1 ) ►   A u g u s t ( 1 1 ) ►   M a y ( 1 ) ►   A p r i l ( 3 ) ►   M a r c h ( 2 ) ►   F e b r u a r y ( 2 ) ►   J a n u a r y ( 2 ) ►   2 0 1 8 ( 2 2 ) ►   D e c e m b e r ( 7 ) ►   N o v e m b e r ( 1 ) ►   O c t o b e r ( 4 ) ►   S e p t e m b e r ( 2 ) ►   A u g u s t ( 3 ) ►   J u l y ( 1 ) ►   J u n e ( 1 ) ►   M a y ( 1 ) ►   A p r i l ( 1 ) ►   J a n u a r y ( 1 ) ►   2 0 1 7 ( 1 9 ) ►   D e c e m b e r ( 1 ) ►   O c t o b e r ( 3 ) ►   S e p t e m b e r ( 2 ) ►   A u g u s t ( 2 ) ►   J u l y ( 1 ) ►   M a y ( 1 ) ►   A p r i l ( 6 ) ►   M a r c h ( 1 ) ►   F e b r u a r y ( 2 ) ►   2 0 1 6 ( 1 7 ) ►   D e c e m b e r ( 2 ) ►   N o v e m b e r ( 1 ) ►   O c t o b e r ( 1 ) ►   S e p t e m b e r ( 2 ) ►   A u g u s t ( 1 ) ►   J u l y ( 1 ) ►   J u n e ( 3 ) ►   M a r c h ( 3 ) ►   F e b r u a r y ( 2 ) ►   J a n u a r y ( 1 ) ►   2 0 1 5 ( 3 3 ) ►   D e c e m b e r ( 2 ) ►   N o v e m b e r ( 2 ) ►   O c t o b e r ( 1 ) ►   S e p t e m b e r ( 4 ) ►   A u g u s t ( 6 ) ►   J u l y ( 5 ) ►   J u n e ( 4 ) ►   M a y ( 1 ) ►   A p r i l ( 1 ) ►   M a r c h ( 2 ) ►   F e b r u a r y ( 3 ) ►   J a n u a r y ( 2 ) ►   2 0 1 4 ( 1 1 ) ►   D e c e m b e r ( 1 ) ►   N o v e m b e r ( 2 ) ►   O c t o b e r ( 2 ) ►   S e p t e m b e r ( 1 ) ►   A u g u s t ( 2 ) ►   J u l y ( 3 ) P o w e r e d b y B l o g g e r .

域名(googleprojectzero.blogspot.com)由网友主动性提交被自动秒收录整理收录的，本页最后更新时间为：2024-06-19 22:52:38，自动秒收录仅提供googleprojectzero.blogspot.com的基础信息并免费向广大游客展示，该站IP地址为108.160.167.165 [美国加利福尼亚圣何塞 Dropbox]，该站打开速度为846毫秒，该站的百度权重为0、百度手机权重为0、百度收录为0条、360收录为0条、搜狗收录为0条、谷歌收录为0条、百度来访流量大约在0~0之间、百度手机端来访流量大约在0~0之间、googleprojectzero.blogspot.com的备案号是-、备案人叫-、被百度收录的关键词有0个、手机端关键词有0个、迄今为止已经创建23年10个月18天，其内容不代表本站赞成被显示该站点的内容或立场，相关资料: txt下载、docx下载、pdf下载、rar下载、zip下载，本页地址：http://www.aidhw.com/wangluodh/60d3f8574ce29e16acf9.html。