Android linux kernel privilege escalation vulnerability and exploit (CVE-2014-4322)

In this blog post we'll go over a Linux kernel privilege escalation vulnerability I discovered which enables arbitrary code execution within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel.

The vulnerability affected all devices based on Qualcomm chipsets (that is, based on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "msm" kernel) since February 2012.
 
I'd like to point out that I've responsibly disclosed this issue to Qualcomm, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y've been great as usual, and fixed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 issue pretty quickly (see "Timeline" below). Those of you who are interested in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fix, should definitely check out cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 link above.

Where are we at?

Continuing our journey of getting from zero permissions to TrustZone code execution; after recently completing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 task of getting to TrustZone from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Linux kernel, we are now looking for a way to gain code execution within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Linux kernel.

However, as you will see shortly, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 vulnerability presented in this post requires some permissions to exploit, namely, it can be exploited from within a process called "mediaserver". This means that it still doesn't complete our journey, and so cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next few blog posts will be dedicated to completing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exploit chain, by gaining code execution in mediaserver from zero permissions.

Lets go bug hunting

Since we would like to attack cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Linux kernel, it stands to reason that we would take a look at all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 drivers which are accessible to "underprivileged" Android users. First, let's take a look at all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 drivers which are world accessible (under "/dev"):

Unfortunately, this list is racá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r short - actually, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se drivers are all "generic" Android drivers, which are present on all devices (with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exception of "kgsl-3d0"), and have cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365refore been cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 subject of quite a lot of prior research.

After spending a while looking at each of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se drivers, it became apparent that a more effective strategy would be to cast a wider net by expanding cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 number of drivers to be researched, even if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y require some permissions in order to interact with. Then, once a vulnerability is found, we would simply need one more vulnerability in order to get from zero permissions to TrustZone.

One interesting candidate for research is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "qseecom" driver. For those of you who read cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first blog post, we've already mentioned this driver before. This is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 driver responsible for allowing Android code to interact with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 TrustZone kernel, albeit using only a well defined set of commands.

So why is this driver interesting? For starters, it ties in well with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 previous blog posts, and everybody loves continuity :) That aside, this driver has quite a large and fairly complicated implementation, which, following cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 previous posts, we are sufficiently qualified to understand and follow.

Most importantly, taking a look at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 permissions needed to interact with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 driver, reveals that we must eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r be running with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "system" user-ID which is a very high requirement, or we must belong to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 group called "drmrpc".

However, searching for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "drmrpc" group within all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 processes on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system, reveals that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following processes are members of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 group:

• surfaceflinger (running with "system" user-ID)
• drmserver (running with "drm" user-ID)
• mediaserver (running with "media" user-ID)
• keystore (running with "keystore" user-ID)

But that's not all! Within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Linux kernel, each process has a flag named "dumpable", which controls whecá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r or not cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 process can be attached to using ptrace. Whenever a process changes its permissions by executing "setuid" or "setgid", cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 flag is automatically cleared by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel to indicate that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 process cannot be attached to.

While cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "surfaceflinger" and "drmserver" processes modify cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir user-IDs during runtime, and by doing so protect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365mselves from foreign "ptrace" attachments, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "mediaserver" and "keystore" processes do not.

This is interesting since attaching to a process via "ptrace" allows full control of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 process's memory, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365refore enables code execution within that process. As a result, any process running with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same user-ID as one of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se two processes can take control of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m and by doing so, may access cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "qseecom" driver.

Summing it up, this means that in order to successfully access cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "qseecom" driver, an attacker must only satisfy one of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following conditions:

• Gain execution within one of "mediaserver", "drmserver", "mediaserver" or "keystore"
• Run within a process with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "system", "drm" or "keystore" user-ID
• Run within a process with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "drmrpc" group-ID

Tricksy Hobbitses

Before we start inspecting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 driver's code, we should first recall cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 (mis)trust relationship between user-space and kernel-space.

Since drivers deal with user input, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y must take extreme caution to never trust user supplied data, and always verify it extensively - all arguments passed in by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user should be considered by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel as "tainted". While this may sound obvious, it's a really important issue that is overlooked often times by kernel developers.

In order to stop kernel developers from making cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se kinds of mistakes, some mechanisms were introduced into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's code which help cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 compiler detect and prevent such attempts.

This is facilitated by marking variables which point to memory within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user's virtual address space as such, by using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "__user" macro.

When expanded, this macro marks cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 variable with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "noderef" attribute. The attribute is used to tag cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 pointer as one that cannot be directly dereferenced. If an attempt is made to directly dereference a pointer marked as such, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 compiler will simply produce an error and refuse to compile cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 code.

Instead, whenever cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel wishes to eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r read from or write to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 pointer's location, it must do so using specially crafted kernel functions which make sure that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 location pointed to actually resides within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user's address space (and not within any memory address belonging to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel).

Getting to know QSEECOM

Drivers come in many shapes and sizes; and can be interacted with by using quite a wide variety of functions, each of which with its unique pitfalls and common mistakes.

When character devices are registered within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y must provide a structure containing pointers to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 device's implementation for each of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 aforementioned functions, determining how it interacts with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system.

This means that an initial step in mapping out cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 attack surface for this driver would be to take a look at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 functions registered by it:

In cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 case of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 QSEECOM driver, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 only "interesting" function implemented is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "ioctl" function call. Generally, character devices can be interacted with just as any ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r file on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system - cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y can be opened, read from, written to, etc. However, when an operation doesn't neatly map into one of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "normal" file operations, it can be implemented within a special function called "IOCTL" (Input/Output Control).

IOCTLs are called using two arguments:

• The "command" to be executed
• The "argument" to be supplied to that function

The complete list of supported "commands" can be deduced by reading cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 source code of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IOCTL's implementation.

Having said that, lets take a look at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 different commands supported by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 qseecom_ioctl function. At first glance, it seems as though quite a large range of commands are supported by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 driver, such as:

• Sending command requests to TrustZone
• Loading QSEE TrustZone applications
• Provisioning different encryption keys
• Setting memory parameters for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 client of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 driver

Setting Memory  Parameters

In order to allow cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user to send large requests to or receive large responses from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 TrustZone kernel, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 QSEECOM driver exposes a IOCTL command which enables cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user to set up his "memory parameters".

In order to share a large chunk of memory with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user first allocates a contiguous physical chunk of memory by using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "ion" driver.

We won't go into detail about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "ion" driver, but here's cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 gist of it - it is an Android driver which is used to allocate contiguous physical memory and expose it to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user by means of a file descriptor. After receiving a file descriptor, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user may cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n map it to any chosen virtual address, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n use it as he pleases. This mechanism is advantageous as a means of sharing memory since anyone in possession of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 file descriptor may map it to any address within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir own virtual address space, independently of one anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r.

The "ion" driver also supports different kinds of pools from which memory can be allocated, and a wide variety of flags - for those interested, you can read much more about "ion" and how it works, here.

In cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 case of QSEECOM, three parameters are used to configure cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user's memory parameters:

• virt_sb_base - The virtual address at which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user decided to map cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ION allocated chunk
• sb_len - The length of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 shared buffer used
• ifd_data_fd - The "ion" file descriptor corresponding to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 allocated chunk

The driver actually verifies that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 whole range from "virt_sb_base" to "virt_sb_base + sb_len" is accessible to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user (and doesn't, for example, overlap with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's memory).

Then, after performing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 needed validations, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 driver maps cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ION buffer to a kernel-space virtual address, and stores all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 memory parameters in an internal data structure, from which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y can later be retrieved whenever cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user performs additional IOCTL calls:

Note that four different parameters are stored here:

• The kernel-space virtual address at which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ION buffer is mapped
• The actual physical address of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ION buffer
• The user-space virtual address at which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ION buffer is mapped
• The length of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 shared buffer

Since this is quite a lot to remember (and it's only going to get worse :) ), let's start mapping out cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 current state of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 virtual address space:

QSEECOM_IOCTL_SEND_MODFD_CMD_REQ

After going over cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 code for each of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 different supported commands, one command in particular seemed to stick-out as a prime candidate for exploitation - QSEECOM_IOCTL_SEND_MODFD_CMD_REQ.

This command is used in order to request cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 driver to send a command to TrustZone using user-provided buffers. As we know, any interaction of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel with user-provided data, let alone user-provided memory addresses, is potentially volatile.

After some boilerplate code and internal housekeeping, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 actual function in charge of handling this particular IOCTL command is called - "qseecom_send_modfd_command". 
 
The function first safely copies cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IOCTL argument supplied by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user into a local structure, which looks like this:

The "cmd_req_buf" and "cmd_req_len" fields define cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 request buffer for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 command to be sent, and similarly, "resp_buf" and "resp_len" define cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 response buffer to which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 result should be written.

Now stop! Do you notice anything fishy in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 structure above?

For starters, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are two pointers within this structure which are not marked as "tainted" in any way (not marked as "__user"), which means that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 driver might mistakenly access cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m later on.

What comes next, however, is a quite an intimidating wall of verifications which are meant to make sure that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 given arguments are, in fact, valid. It seems as though Quacomm win this round...


Or do cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y?

Well, let's look at each of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 validations performed:

• First, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 function makes sure that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 request and response buffers are not NULL.
• Next, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 function makes sure that both cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 request and response buffers are within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 range of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 shared buffer discussed earlier.
• Then, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 function makes sure that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 request buffer's length is larger than zero, and that both cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 request and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 response size do not exceed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 shared buffer's length.
• Lastly, for each file descriptor passed, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 function validates that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 command buffer offset does not exceed cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 length of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 command buffer.

Before even attempting to scale this wall of verifications, lets first see what's on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r side of it.

After performing all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se validations, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 function goes on to convert cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 request and response buffers from user virtual addresses to kernel virtual addresses:

Where cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 actual conversion taking place looks like so:

This actually simply amounts to taking cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 offset from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 given virtual address to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 beginning of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user-space virtual address for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 shared buffer, and adding it to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel-space virtual address for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 shared buffer. This is because, as mentioned earlier, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel maps cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ION buffer to a kernel-space virtual address which is unrelated to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user-space virtual address to which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user mapped cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 buffer. So before cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel can interact with any pointer within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 shared buffer, it must first convert cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 address to a virtual address within it's own address space.

What comes next, however, is extremely interesting! The driver passes on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 request and response buffers, which should now reside within kernel-space, to an internal function called "__qseecom_update_cmd_buf" - and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rein lies cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 holy grail! The function actually writes data to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 converted kernel-space address of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 request buffer.


We'll expand more on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exact nature of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data written later on, but hopefully by now you're convinced if we are able to bypass cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 verifications above while still maintaining control of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 final kernel-space address of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 request buffer, we would achieve a kernel write primitive, which seems quite tempting.

"Bring down this wall!"

First, let's start by mapping out cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 locations of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 request and response buffers within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 virtual address space:

Now, as we already know, when setting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 memory parameters, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 buffer starting at "virt_sb_base" and ending at "virt_sb_base + sb_len" must reside entirely within user-space. This is facilitated by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following check:

Also, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 verifications above make sure that both cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "cmd_req_buf" and "resp_buf" pointers are within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user-space virtual address range of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 shared buffer.

However, what would happen if we were to map a huge shared buffer - one so large that it cannot be contained within kernel space? Well, a safe assumption might be that when we'd attempt to set cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 memory parameters for this buffer, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 request would fail, since cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel will not be able to map cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 buffer to it's virtual address space.

Luckily, though, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IOCTL with which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 memory parameters are set only uses cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user-provided buffer length in order to verify that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user-space range of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 shared buffer is accessible by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user (see cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 access check above). However, when it actually maps cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 buffer to its own address-space, it does so by simply using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ION file descriptor, without verifying that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 buffer's actual length equals cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 one provided by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user.

This means we could allocate a small ION buffer, and pass it to QSEECOM while claiming it actually corresponds to a huge area. As long as cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 entire area lies within user-space and is write-accessible to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 driver will happily accept cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se parameters and store cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m for us. But is this feasible? After all, we can't really allocate such a huge chunk of memory within user-space - cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re's just not enough physical memory to satisfy such a request. What we could do, however, is reserve this memory area by using mmap. This means that until cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data is actually written to, it is not allocated, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365refore we can freely map an area of any size for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 duration of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 validation performed above, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n unmap it once cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 driver is satisfied that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 area is indeed writeable.

From now on, let's assume we map cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fake shared buffer at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 virtual address 0x10000000 and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 mapping size is 0x80000000.

Recall that if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 command and response buffer are deemed valid, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are converted to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 corresponding kernel-space virtual addresses, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 converted request buffer is written to at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 given offset. Putting it all togecá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r, we are left with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following actual write destination:

Can you spot cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 mistake in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 calculation above? Here it goes -

Since cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel believes cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 shared buffer is huge, this means that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "cmd_req_buf" may point to any address within that range, and in our case, any address within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 range [0x10000000, 0x90000000]. It also means that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "cmd_buf_offset" can be as large as 0x80000000, which is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fake size of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 shared buffer.

Adding up two such huge numbers would doubtless cause an overflow in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 calculation above, which means that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 resulting address may not be within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's shared buffer after all!

(Before you read on, you may want to try and work cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 needed values to exploit this on your own.)

Finding cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's shared buffer

As you can see in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 calculation above, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 location of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's shared buffer is still unknown to us. This is because it is mapped during runtime, and this information is not exposed to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user in any way. However, this doesn't mean we can't find it on our own.

If we were to set cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "cmd_buf_offset" to zero, that would mean that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 destination write address for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel would be:

sb_virt - 0x10000000 + cmd_req_buf + 0x0

Now, since we know cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "sb_virt" address is actually within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's heap, it must be within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's memory range (that is, larger than 0xC0000000). This means that for values of "cmd_req_buf" that are larger than (0xFFFFFFFF - 0xD0000000), cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 calculation above would surely overflow, resulting in a low user-space address.

This turns out to be really helpful. We can now allocate a sterile "dropzone" within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 lower range of addresses in user-space, and fill it with a single known value.

Then, after we trigger cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 driver's write primitive, using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 parameters described above, we could inspect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 dropzone and find out where it has been "disturbed" - that is, where has a value been changed. Since we know only a single overflow happened in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 destination address calculation, this means that we can simply reverse cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 calculation (and add 0xFFFFFFFF + 1) to find cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 original address of "sb_virt".

Creating a controlled write primitive
 

Now that we know cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exact address of "sb_virt", we are free to manipulate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 arguments accordingly in order to control cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 destination address freely. Recall that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 destination address is structured like so:

Now, since all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 arguments are known, and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 sum "cmd_req_buf" and "cmd_buf_offset" can exceed 0xFFFFFFFF, this means that we can simply modify any address following sb_virt, by setting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following values:

• user_virt_sb_base = 0x10000000
• cmd_req_buf + cmd_buf_offset = (0xFFFFFFFF + 1) + 0x10000000 + wanted_offset

This means that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 destination write address would be:

dest_addr = sb_virt - user_virt_sb_base + cmd_req_buf + cmd_buf_offset

Substituting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 variables with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 values above:

dest_addr = sb_virt -  0x10000000 + (0xFFFFFFFF + 1) + 0x10000000 + wanted_offset

Which equals:

dest_addr = sb_virt + (0xFFFFFFFF + 1) + wanted_offset

But since adding 0xFFFFFFFF + 1 will cause an overflow which will result in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same original value, we are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365refore left with:

dest_addr = sb_virt + wanted_offset

Meaning we can easily control cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 destination to which cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 primitive will write its data, by choosing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 corresponding "wanted_offset" for each destination address.

Exploiting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 write primitive

Now that we have a write primitive, all that's left is for us to exploit it. Fortunately, our write primitive allows us to overwrite any kernel address. However, we still cannot control cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data written - actually, going over cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 code of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 vulnerable "__qseecom_update_cmd_buf" reveals that it actually writes a physical address related to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ION buffer to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 target address:

However, recall that previously, when we discovered cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 address of "sb_virt", we did so by detecting a modified DWORD at a preallocated "sterile" dropzone. This means that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 actual value of this physical address is in fact known to us at this point as well. Moreover, all physical addresses corresponding to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "System RAM" on Qualcomm devices are actually "low" addresses, meaning, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y are all definitely lower than cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's virtual base address (0xC0000000).

With that in mind, all that's left for us is to overwrite a function pointer within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel with our write primitive. Since cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 DWORD written will correspond to an address which is within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user's virtual address space, we can simply allocate an executable code stub at that address, and redirect execution from that function stub to any ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r desired piece of code.

One such location containing function pointers can be found within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "pppolac_proto_ops" structure. This is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 structure used within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel to register cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 function pointers used when interacting with sockets of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 PPP_OLAC protocol. This structure is suitable because:

• The PPP_OLAC protocol isn't widely used, so cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re's no immediate need to restore cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 overwritten function pointer
• There are no special permissions needed in order to open a PPP_OLAC socket, ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r than cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ability to create sockets
• The structure itself is static (and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365refore stored in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 BSS), and is not marked as "const", and is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365refore writeable

Putting it all togecá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r

At this point, we have cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 ability to execute arbitrary code within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel, thus completing our exploit. Here's a short recap of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 steps we needed to perform:

• Open cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 QSEECOM driver 
• Map a ION buffer
• Register faulty memory parameters which include a fake huge memory buffer
• Prepare a sterile dropzone in low user-space addresses
• Trigger cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 write primitive into a low user-space address
• Inspect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 dropzone in order to deduce cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 address of "sb_virt" and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 contents written in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 write primitive
• Allocate a small function stub at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 address which is written by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 write primitive
• Trigger cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 write primitive in order to overwrite a function pointer within "pppolac_proto_ops"
• Open a PPP_OLAC socket and trigger a call to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 overwritten function pointer
• Execute code within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel :)

Into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Wild

Shortly after cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 patch was issued and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 vulnerability was fixed, I was alerted by a friend on mine to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 fact that an exploit has been developed for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 vulnerability and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exploit has been incorporated into a popular rooting kit (giefroot), in order to achieve kernel code execution.

Luckily, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exploit for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 vulnerability was quite poorly written (I've fully reverse engineered it), and so it didn't support all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 range of vulnerable devices.

Now that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 issue has been fixed for a while, I feel that it's okay to share cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 full vulnerability writeup and exploit code, since all devices with kernels compiled after November 2014 should be patched. I've also made sure to use a single symbol within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exploit, to prevent widespread usage by script-kiddies (although this constraint can easily be removed by dynamically finding cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 pointer mentioned above during cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exploit).

The Code

I've written an exploit for this vulnerability, you can find it here.

Building cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 exploit actually produces a shared library, which exports a function called "execute_in_kernel". You may use it to execute any given function within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 context of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel. Play safe!

Timeline

• 24.09.14 - Vulnerability disclosed
• 24.09.14 - Initial response from QC
• 30.09.14 - Issue triaged by QC
• 19.11.14 - QC issues notice to customers
• 27.12.14 - Issue closed, CAF advisory issued