Новый метод GPUAF для полного захвата Android-телефонов обнаружен

В современном мире смартфоны перестали быть просто средствами связи — они стали важным центром нашей личной жизни, финансовых операций и бизнес-процессов. Устройства на базе операционной системы Android, особенно с процессорами Qualcomm, входят в число самых распространённых в мире. Однако недавно обнаруженный метод эксплуатации, названный GPUAF (GPU Use-After-Free), представляет серьёзную угрозу безопасности этих устройств. Разработанный старшими исследователями мобильной безопасности из STAR Labs Паном Чжэньпэном и Чжэн Бин Чжуном, этот метод позволяет осуществить рут-доступ практически на всех Android-телефонах с процессорами Qualcomm, открывая путь к полному контролю над системой.

Рут-доступ — это техника, которая предоставляет пользователю или злоумышленнику привилегированные права, позволяющие полностью контролировать операционную систему, обходя ограничения, установленные производителем или оператором. Однако метод GPUAF крайне опасен с точки зрения кибербезопасности, так как он объединяет несколько уязвимостей в драйверах графического процессора (GPU) Qualcomm, позволяя полностью захватить систему. Эта уязвимость затрагивает устройства таких брендов, как Samsung, Xiaomi, Honor и Vivo.

Исследователи подробно описали три критические уязвимости, использованные в этой эксплуатации:

  1. CVE-2024-23380: Состояние гонки (race condition) в буфере карты Kgsl VBO, возникающее из-за одновременного доступа нескольких процессов к памяти.
  2. CVE-2024-23373: Уязвимость типа Use-After-Free на уровне страниц, вызываемая неудачным выполнением операций размонтирования (unmap), что приводит к повторному обращению к освобождённой памяти.
  3. Третья ошибка: Преждевременное уничтожение записей в таблице страниц, вызывающее несоответствие между внутренними структурами драйвера GPU и отображениями IOMMU.

В техническом отчёте исследователи пояснили: «Объединяя эти уязвимости в цепочку, мы создаём несоответствия между внутренними структурами драйвера GPU и отображениями IOMMU. Это позволяет освобождённым страницам памяти оставаться доступными через GPU, что даёт злоумышленнику возможность управлять системой».

Метод GPUAF предлагает два различных пути эксплуатации, каждый из которых позволяет получить полный контроль над системой:

1. Манипуляция таблицами страниц

Этот метод основан на захвате освобождённых страниц памяти в качестве таблиц страниц ARM64. Злоумышленник изменяет таблицы страниц, манипулируя битами защиты (AP[2:1]), чтобы сделать память, доступную только для чтения, доступной для записи:

Манипуляция таблицами страниц позволяет отключить защиту SELinux путём переписывания структуры selinux_state, что открывает путь к получению прав root.

Этот метод способен обойти передовые механизмы безопасности, такие как Enhanced SELinux и гипервизор KNOX от Samsung, включая системы, работающие на уровне исключений EL2.

2. Эксплуатация буфера pipe

Второй метод основан на захвате освобождённых страниц в качестве структур pipe_buffer:

При установленном флаге PIPE_BUF_FLAG_CAN_MERGE функции copy_page_to_iter и copy_page_from_iter позволяют получить произвольные возможности чтения и записи.

Этот метод предоставляет возможность произвольно изменять и читать данные в системной памяти, служа альтернативным способом получения прав root.

Метод GPUAF затрагивает множество устройств с процессорами Qualcomm, включая:

  • Серию Samsung Galaxy S (модели без чипов Exynos).
  • Телефоны Xiaomi (например, Xiaomi 14, 14 Pro, Redmi Note 13 Pro).
  • Телефоны Honor (например, x9b, 90).
  • Телефоны Vivo (например, iQOO Z9s Pro, T3 Pro).

Исследователи подчеркнули, что наиболее опасной особенностью этой атаки является её широкая применимость и способность обходить аппаратные меры безопасности. Например, передовые защитные механизмы, такие как KNOX и Enhanced SELinux от Samsung, оказываются уязвимыми перед GPUAF. Эта атака представляет угрозу не только для индивидуальных пользователей, но и для корпоративных систем и критически важных инфраструктур.

Успешное выполнение атаки позволяет установить постоянное вредоносное ПО, украсть конфиденциальные данные и даже полностью контролировать устройство. Особенно серьёзной эта угроза является для сетей, содержащих конфиденциальную информацию, таких как системы здравоохранения, финансовые учреждения и государственные организации.

Компания Qualcomm выпустила исправления (патчи) для устранения этих уязвимостей, но эксперты по безопасности настоятельно рекомендуют пользователям немедленно обновить свои устройства. Обновления распространяются производителями (Samsung, Xiaomi, Honor, Vivo) через программные пакеты. Процесс обновления обычно выполняется следующим образом:

  1. Откройте приложение Настройки.
  2. Перейдите в раздел Обновление ПО или Обновление системы.
  3. Загрузите и установите последний патч безопасности.

Если обновление для вашего устройства ещё не доступно, регулярно проверяйте раздел безопасности на официальном сайте производителя.

В Узбекистане Android-телефоны, особенно с процессорами Qualcomm от Samsung, Xiaomi и Vivo, получили широкое распространение. Эта уязвимость представляет серьёзную угрозу и для узбекистанских пользователей, поскольку киберпреступники действуют на глобальном уровне. Следующие меры будут полезны для пользователей в Узбекистане:

  • Обновляйте устройства: Установите последние патчи безопасности, чтобы защитить своё устройство.
  • Избегайте ненадёжных приложений: Устанавливайте только проверенные приложения из Google Play Store и избегайте загрузки программ из неизвестных источников.
  • Используйте защитное ПО: Надёжные антивирусные программы, такие как Bitdefender, Kaspersky или Malwarebytes, обеспечивают дополнительный уровень защиты.
  • Создавайте резервные копии данных: Регулярно сохраняйте резервные копии данных через iCloud, Google Drive или локальные устройства хранения.
  • Повышайте осведомлённость о кибербезопасности: Следите за ресурсами по кибербезопасности на узбекском языке (например, Telegram-каналы с хэштегами #КиберХавфсизлик или #ХавфсизИнтернет).

В условиях стремительного развития IT-сферы в Узбекистане знания и осторожность в области кибербезопасности важны как никогда. Особенно местным предприятиям и организациям рекомендуется привлекать специалистов по безопасности и проводить регулярные аудиты для защиты своих сетей.

Метод GPUAF считается значительным достижением в области эксплуатации Android. Он демонстрирует, как уязвимости драйверов GPU могут быть объединены в цепочку для полного захвата системы. Это также подчёркивает необходимость многоуровневых систем безопасности для мобильных устройств.

По словам исследователей, «Широкая применимость этой атаки и её способность обходить аппаратные меры безопасности делают её особенно опасной». Этот случай служит предупреждением не только для Qualcomm, но и для других производителей процессоров и разработчиков операционных систем. Для обеспечения безопасности требуется укрепление не только программных, но и аппаратных механизмов защиты.

Техника GPUAF выявила серьёзный пробел в безопасности Android-телефонов с процессорами Qualcomm. Возможность перехода от прав обычного пользователя к уровню root подчёркивает необходимость постоянной бдительности в области кибербезопасности. Хотя Qualcomm и производители выпустили патчи для устранения уязвимостей, пользователи должны обновить свои устройства и соблюдать меры предосторожности, чтобы защитить себя.

Кибербезопасность — это не только технический вопрос, но и ответственность каждого пользователя и организации. Создание безопасной цифровой среды в Узбекистане и во всём мире требует знаний, осторожности и оперативных действий. Если у вас есть дополнительные вопросы или нужна помощь в защите Android-устройств, пишите — я подробно объясню каждый шаг!