作者：啟明星辰ADLab
原文鏈接：https://mp.weixin.qq.com/s/ohMZkfyS_B_HVg3Xm0THbQ

一、漏洞背景

2020年3月，谷歌修補了一個存在于聯發科芯片中的安全漏洞（CVE-2020-0069），漏洞影響20余款聯發科芯片和數百萬Android設備。該漏洞存在于MediaTek Command Queue驅動（CMDQ命令隊列驅動），允許本地攻擊者實現對物理內存地址的任意讀寫，從而導致權限提升。

二、受影響國產手機型號

  • Huawei GR3 TAG-L21

  • Huawei Y5II

  • Huawei Y6II MT6735 series

  • Lenovo A5

  • Lenovo C2 series

  • Lenovo Tab E7

  • Lenovo Tab E8

  • Lenovo Tab2 A10-70F

  • Meizu M5c

  • Meizu M6

  • Meizu Pro 7 Plus

  • Oppo A59 series

  • Oppo A5s

  • Oppo A7x -- up to Android 8.x

  • Oppo F5 series/A73 -- up to A.39

  • Oppo F7 series -- Android 8.x only

  • Oppo F9 series -- Android 8.x only

  • Oppo R9xm series

  • Xiaomi Redmi 6/6A series

  • ZTE Blade A530

  • ZTE Blade D6/V6

  • ZTE Quest 5 Z3351S

三、CMDQ驅動簡析

DMA（直接內存訪問）是允許專用硬件直接從主存儲器(RAM)發送或接收數據的一種特性。其目的是通過允許大內存訪問而不過多占用CPU來加速系統。MediaTek Command Queue驅動(CMDQ命令隊列驅動)允許從用戶層與DMA控制器通信，以實現媒體或顯示相關的任務。

基于Redmi 6/6A 源代碼分析，在cmdq_driver.h頭文件中，聲明cmdq驅動的IOCTL調用如下：

  • CMDQ_IOCTL_ALLOC_WRITE_ADDRESS指令為分配一個DMA緩沖區

  • CMDQ_IOCTL_FREE_WRITE_ADDRESS指令為釋放一個DMA緩沖區

  • CMDQ_IOCTL_READ_WRITE_ADDRESS指令為讀取一個DMA緩沖區中的數據

  • CMDQ_IOCTL_EXEC_COMMAND指令運行發送其他命令

1、分配過程

通過CMDQ_IOCTL_ALLOC_WRITE_ADDRESS調用cmdqCoreAllocWriteAddress ()函數，分配一個DMA緩沖區，該函數關鍵代碼實現如下：

然后，調用cmdq_core_alloc_hw_buffer()函數分配DMA緩沖區，pWriteAddr->va是虛擬地址，pWriteAddr->pa為物理地址，兩者一一對應。并清理緩沖區。

最后，將物理地址賦值到paStart，并將pWriteAddr結構體添加到gCmdqContext.writeAddrList鏈表中。

2、執行命令過程

在CMDQ_IOCTL_EXEC_COMMAND調用中，采用cmdqCommandStruct結構體作為參數，結構體定義如下：

pVABase指向用戶層存放命令的緩沖區，緩沖區大小放在blockSize中。其中cmdqReadAddressStruct結構體定義如下：

DmaAddresses是要讀取的物理地址，讀取的值存放在values中。在CMDQ_IOCTL_EXEC_COMMAND命令的執行過程，實現代碼如下：

函數調用路徑如下：

Cmdq_core_acquire_task()函數會將command綁定到task中執行。具體實現如下：

調用cmdq_core_find_free_task()函數獲取一個空閑task。拿到空閑task并進行一些初始化設置，然后開始調用cmdq_core_insert_read_reg_command()函數執行命令。

該函數實現分析，先拷貝用戶層傳入的命令到DMA緩沖區中。

pCommandDesc->pVABase是存放命令的內存起始地址。拷貝完命令后，后面分幾種方式結尾。

這里不做深究，最后拷貝EOC和JUMP指令結尾。這里也是將用戶層傳入的命令拷貝過來。

從cmdq_core_acquire_task()函數中返回后，如下：

調用cmdq_core_consume_waiting_list()函數執行task。先從等待隊列中獲取task。

然后，獲取空閑內核線程。

最后，將task綁定到thread中去執行。

四、讀寫命令分析

以cmdq_test.c測試代碼為例，分析理解一個完整的讀寫命令構造。cmdq驅動中定義了兩類寄存器，一類是地址寄存器用于存放地址，一類是數值寄存器用于存放讀取或寫入的數值。

regResults是虛擬地址，調用cmdq_core_alloc_hw_buffer()函數分配一個dma地址，regResultsMVA與之對應，然后設置regResults中的數據。開始拼接讀取和寫入命令：

將regResults[0]的地址寫入CMDQ_DATA_REG_DEBUG_DST類型的地址寄存器中。

然后，從CMDQ_DATA_REG_DEBUG_DST地址寄存器中讀取數據并寫入到CMDQ_DATA_REG_DEBUG數值寄存器中。這時候，CMDQ_DATA_REG_DEBUG數值寄存器中的值應該為0xdeaddead。

接著，將regResults[1]的地址轉存到CMDQ_DATA_REG_DEBUG_DST地址寄存器中。

最后，將CMDQ_DATA_REG_DEBUG數值寄存器中的0xdeaddead寫入到CMDQ_DATA_REG_DEBUG_DST地址寄存器中保存的regResults[1]的地址中。即regResults[1]=0xdeaddead。判斷regResults[0]和regResults[1]是否相等。

如果相等，說明讀寫成功。

五、PoC分析與測試

（1）PoC代碼中，執行寫操作的關鍵代碼如下：

寫入過程中，先將value[count]移動到CMDQ_DATA_REG_DEBUG數值寄存器中，然后將pa_address+offset地址移動到CMDQ_DATA_REG_DEBUG_DST地址寄存器中，最后將CMDQ_DATA_REG_DEBUG數值寄存器中的value寫入到CMDQ_DATA_REG_DEBUG_DST地址寄存器中保存的pa_address+offset地址中，即*(pa_address+offset) = value[count]。

（2）PoC代碼中，執行讀操作的關鍵代碼如下：

讀取過程中，第一步先將pa_address+offset地址移動到CMDQ_DATA_REG_DEBUG_DST地址寄存器中，然后從CMDQ_DATA__REG_DEBUG_DST地址寄存器中存儲的地址pa_address+offset中讀取數據放到CMDQ_DATA_REG_DEBUG數據寄存器中，再將dma_address+offset地址移動到CMDQ_DATA_REG_DEBUG_DST地址寄存器中，最后將CMDQ_DATA_REG_DEBUG數值寄存器中保存的數據寫入到CMDQ_DATA_REG_DEBUG_DST地址寄存器中存儲的dma_address+offset地址中，即(dma_address + offset) = (pa_address + offset)。

（3）在Reami6測試機中，執行PoC測試，成功將Linux修改成minix。

六、參考鏈接

  1. https://github.com/MiCode/Xiaomi_Kernel_OpenSource/tree/cactus-p-oss/drivers/misc/mediatek/cmdq

  2. https://github.com/quarkslab/CVE-2020-0069_poc/blob/master/jni/kernel_rw.c

  3. https://blog.quarkslab.com/cve-2020-0069-autopsy-of-the-most-stable-mediatek-rootkit.html

  4. https://forum.xda-developers.com/android/development/amazing-temp-root-mediatek-armv8-t3922213

  5. https://source.android.com/security/bulletin/2020-03-01

Paper 本文由 Seebug Paper 發布，如需轉載請注明來源。本文地址：http://www.bjnorthway.com/1259/