LG智能手机爆出两个远程代码执行漏洞 – 作者:JingleCats

*本文中涉及到的相关漏洞已报送厂商并得到修复,本文仅限技术研究与讨论,严禁用于非法用途,否则产生的一切后果自行承担。

Check Point 的研究员发现了 LG(也称为 LGEIME)智能手机的两个漏洞,这些漏洞都存在于默认的键盘上,而且是 LG 设备独有的。第一个漏洞是在敏感过程中存在一个不安全连接;第二个漏洞是由于 LG 文件系统存在验证缺陷。利用这两个漏洞都可远程获取 LG 设备的高级权限,控制设备的键盘更新过程,实施键盘记录行为,从而对用户的隐私和身份验证信息造成威胁。

Check Point 的研究员在几个月前发现了 LG(也称为 LGEIME)智能手机的两个漏洞,这些漏洞都存在于默认的键盘上,而且是 LG 设备独有的。根据 2017 年对美国 AndroidOEM 市场的调查,LG 设备占比超过 20%。研究员针对 LG 的一些旗舰产品进行测试,发现这些漏洞可以被利用,产品包含 LG G4、LG G5 和 LG G6。

第一个漏洞是在敏感的过程中存在一个不安全连接;第二个漏洞是由于 LG 文件系统存在验证缺陷。利用这两个漏洞都可远程获取 LG 设备的高级权限,控制设备的键盘更新过程,实施键盘记录行为,从而对用户的隐私和身份验证信息造成威胁。

第一个漏洞的分析

LG 设备的键盘默认安装语言为英语,但也支持多种语言的手写模式以及用户自定义的其它语言。当安装新的语言或者更新现有语言时,设备会访问一个硬编码的服务器,从中检索被请求的语言文件,但是这个下载过程是通过一个不安全的 HTTP 连接完成的,这使得攻击者可以进行中间人攻击或者其它的危害操作。这样的攻击导致设备下载到恶意文件而非需要的语言文件。 

由于每一个手写语言包在 LG 键盘应用中都有独立的文件目录:

/data/data/com.lge.ime/VODB/<databaseversion>/<language ID>

一个语言包包含机器学习模型的源文件和一个 files.txt 的元数据文件。files.txt 包含和当前语言包相关的所有文件的列表,列出每个文件的文件名、文件内容的 md5 哈希值和文件的大小。

手写语言更新过程和新语言下载一样,包含两个逻辑过程: 

下载 files.txt 元数据文件;

解析元数据文件并写在其中列出的所有源文件。

但是每个下载都是通过不安全的 HTTP 连接进行的,下图中下载英语语言包的 URL 为:http://lgresources.visionobjects.com/5.1.0.73/en_US.

由于存在不安全的连接,files.txt 元数据文件可被修改为中间人代理,也可以注入其它的文件,LG 键盘程序将会从中间人代理 URL 下载恶意文件。

第二个漏洞——位置控制

下载文件的磁盘也可以被 MITM 代理控制,前面提到一个源文件的位置和其文件名有关,都记录在 files.txt 元数据文件中。通过路径遍历机制,文件名称可以作为其位置(目录),也可修改为 LG 键盘包沙盒中的其它位置。

LG 的键盘应用假定本地 lib 文件是语言包中的一部分,并授权下载的所有文件为.so 的可执行文件。当元数据文件被修改为.so 文件,那么这个流氓 lib 文件也就被标记为可执行文件。

这个流氓.so 文件被放置到文件系统,然后需要强制 LG 键盘应用程序加载它。一种方法是在键盘配置文件(/data/data/com.lge.ime/files/Engine.properties)中标示该 lib 为「输入方法扩展库」。

通过修改 files.txt 元数据文件、Engine.properties 配置文件,利用 lib 注入的方式,这些文件也可被一个虚假文件代替。LG 的键盘程序加载配置文件中指定的 lib 文件到程序重启项中,一旦键盘程序启动,这个流氓 lib 文件就会被加载。完成以上操作后,就只需要等待应用程序重启加载库。

Check Point 的研究员已将这两个漏洞反映给 LG 公司,该公司在其 5 月份的安全更新中发布了相关补丁(LG 将两个漏洞合并为一个:LVE-SMP-170025)。建议用户及时进行更新。

*参考来源:CheckPoint,由 JingleCats 编译,转载请注明来自 FreeBuf.COM

来源:freebuf.com 2018-05-17 08:30:15 by: JingleCats

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论