Google Android 迄 4.4.1 Volume Management Daemon VolumeManager.cpp 識別子特権昇格

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
4.2	$0-$5k	0.00

要約情報

脆弱性が問題があるとして分類され、Google Android 迄 4.4.1で発見されました。該当するのは不明な関数ファイルVolumeManager.cppのコンポーネントVolume Management Daemonのです。【識別子】引数を未知の値で改ざんすることが、特権昇格を突く攻撃に繋がります}。対象コンポーネントのアップグレードを推奨します。

脆弱性が問題があるとして分類され、Google Android 迄 4.4.1で発見されました。該当するのは不明な関数ファイルVolumeManager.cppのコンポーネントVolume Management Daemonのです。【識別子】引数を未知の値で改ざんすることが、特権昇格を突く攻撃に繋がります}。この問題をCWEでは、CWE-269 と定義しました。このアドバイザリは次の内容を要約しています：

Vold (Volume Management Daemon) is a daemon running as root, which main goal is to handle removable media devices. ASEC are secured containers allowing applications to securely store data on the SD card, and have been introduced back in 2010. These containers have been created because the SD Card filesystem (VFAT) does not allow privileges separation.

この脆弱性は 2014年06月03日に公開されました、Fabien Perigaudによって、CERT-LEXSIとともに、Local root vulnerability in Android 4.4.2として、Blog Postとして（ウェブサイト）。アドバイザリはblog.cassidiancybersecurity.comで提供されています。

技術詳細が存在します。この脆弱性の人気度は平均より低いです。現時点では、エクスプロイトの価格は約USD $0-$5kと考えられます。 MITRE ATT&CKプロジェクトは攻撃技術をT1068としています。アドバイザリーは次を指摘しています。

there is no check on the "id" variable, which is the name given by the user to its ASEC container. It is therefore possible to perform a basic path traversal, to create the ASEC file and its mount point in a different directory than expected, as for example one the "attacker" can write into. (...) This means that if the mount point already exists, no error is raised, and the container is correctly mounted in "mountPoint". Guess what? If "mountPoint" already exists AND is a symlink to an existing directory, the ASEC container will be mounted over this directory. And the user will have full access to it, allowing him to write new files inside.

未定義として設定されています。 0-dayとして、アンダーグラウンドでの推定価格は$100k 以上程度でした。

4.4.2にアップグレードすることで、本問題を解消できます。対象コンポーネントのアップグレードを推奨します。以下のソースコードで脆弱性を修正します：

bool VolumeManager::isLegalAsecId(const char *id) const {
  size_t i;
  size_t len = strlen(id);
  if (len == 0) {
    return false;
  }
  if ((id[0] == '.') || (id[len - 1] == '.')) {
    return false;
  }
  for (i = 0; i < len; i++) {
    if (id[i] == '.') {
      // i=0 is guaranteed never to have a dot. See above.
      if (id[i-1] == '.') return false;
      continue;
    }
    if (id[i] == '_' || id[i] == '-') continue;
    if (id[i] >= 'a' && id[i] <= 'z') continue;
    if (id[i] >= 'A' && id[i] <= 'Z') continue;
    if (id[i] >= '0' && id[i] <= '9') continue;
    return false;
  }
  return true;
}

アドバイザリには以下の記述があります：