Android蓝牙组件误差连连看
宣布时间 2018-08-151、概述
Android系统中 ，，，蓝牙组件可以说是清静误差重灾区 ，，，2017年ArmisSecurity清静团队宣布BlueBorne组合误差攻击链可以通过蓝牙对智能手机举行远程攻击 ，，，危害性极大。 。。。今年三月份的Android清静通告中 ，，，系统层误差所有都是蓝牙组件误差 ，，，总共10个。 。。。误差多漫衍在SDP（效劳发明协议）和BNEP（蓝牙网络封装协议）中 ，，，并且误差类型多是内存越界读写。 。。。四月份的清静通告中 ，，，总共有7个蓝牙组件误差 ，，，多漫衍在AVRCP（音频/视频远程控制设置文件）协议中。 。。。六月份和七月份Android 清静通告中依然披露了多个蓝牙组件误差 ，，，涉及蓝牙协议栈中多个协议 ，，，涉及的源码版本为6.0、 6.0.1、 7.0、 7.1.1、7.1.2、 8.0、 8.1 ，，，笼罩规模较广。 。。。
本文将先容蓝牙协议栈中的L2CAP协媾和SMP协议 ，，，并对CVE-2018-9359和CVE-2018-9365这两个误差案例举行详细剖析。 。。。
2、协议简介
2.1 L2CAP
L2CAP（Logical Link Control and Adaptation Protocol）称为逻辑链路和适配协议 ，，，是蓝牙系统中的焦点协议 ，，，位于数据链路层。 。。。L2CAP通过协议多分复用、分段和重组 ，，，向高层提供面向毗连和无毗连的数据效劳。 。。。
2.1.1 L2CAP数据包名堂
L2CAP是基于分组的 ，，，但也遵照信道传输的通讯模子。 。。。L2CAP支持的信道有两种：面向毗连的信道和面向无毗连的信道。 。。。在面向毗连的信道中 ，，，L2CAP数据包的名堂如下图所示。 。。。
数据包中每个字段的说明如下所示：
2.1.2 L2CAP信令
两台蓝牙装备通过L2CAP协议通讯时 ，，，所有的信令都被发送到CID为0x0001的信道中。 。。。L2CAP信令的名堂如下所示。 。。。
L2CAP信令中每个字段的说明如下所示：
L2CAP协议共有12种信令类型 ，，，各信令的作用如下表所示。 。。。
另外 ，，，多个信令可以在统一个帧中发送 ，，，如下图所示。 。。。
2.2 SMP
SMP（Security Manage Protocol）是蓝牙协议栈中的清静治理协议 ，，，认真蓝牙装备之间的配对和密钥分派。 。。。
SMP下令名堂如下图所示。 。。。
其中 ，，，Code字段为一个8bit ，，，标识下令的类型。 。。。SMP下令的类型如下表所示。 。。。Data字段在长度上是可变的 ，，， Code字段决议Data字段的名堂。 。。。
3、误差原理剖析
3.1 CVE-2018-9359
（以下剖析基于android-8.0.0_r4版本源码）
CVE-2018-9359误差位于L2CAP协议模�？？？� ，，，误差类型是越界读。 。。。�？？？梢酝ü雀韫俜酵ǜ婵吹轿蟛畈苟�。 。。。误差补丁代码位于/stack/l2cap/l2c_main.cc文件中的process_l2cap_cmd函数中 ，，，该函数主要功效是处置惩罚吸收的L2CAP协议的信令包。 。。。
从代码291行最先 ，，，while循环剖析L2CAP数据包中所有的COMMAND下令。 。。。首先看一下两个宏界说：STREAM_TO_UINT8从p指向的数据包中读取1个字节 ，，，p指针加1；；；；STREAM_TO_UINT16每次从p指向的数据包中读取2个字节 ，，，p指针加2。 。。。
程序挪用宏依次从p指向的数据包中读取cmd_code、id和cmd_len字段,此时p应该指向data数据域的开头。 。。。
当Code=0x1 ，，，代表Command reject数据包 ，，，数据包界说如下所示。 。。。当Length不为0 ，，，data数据域中包括两个字段：Reason字段(2字节)和Data字段。 。。。
处置惩罚Command reject数据包的分支代码如下：
从代码可以看出 ，，，程序没有判断该下令包是否保存data数据域 ，，，在334行中直接使用宏读取2个字节的rej_reason。 。。。因此在内存堆中爆发越界读误差。 。。。
这里也执偾爆发了内存越界读取 ，，，没有将读取的数据泄露到客户端中。 。。。下面找到发送返回包的代码 ，，，审查怎样爆发内存走漏。 。。。
从378行代码最先是剖析L2CAP_CMD_CONN_REQ下令分支 ，，，379行代码 ，，，先越界读取两个字节的con_info.psm ，，，380行代码越界读取两个字节的rcid。 。。。381行挪用l2cu_find_rcb_by_psm函数通过con_info.psm去遍历寻找注册控制块地点。 。。。这里简朴先容一下PSM这个看法。 。。。
PSM全称为Protocol/ServiceMultiplexer ，，，PSM的长度最少是2字节 ，，，它的值应当是奇数 ，，，就是最低的byte的最低位必需为1。 。。。另外 ，，，PSM的最高byte的最低位应当为0。 。。。它可以比2字节长 ，，，PSM由两个规模段组成 ，，，第一个规模段是SIG用来体现对应protocol的 ，，，第二个规模段是动态申请的和SDP连系使用。 。。。这个值用来支持特定protocol的差别实现。 。。。以是 ，，，在申请PSM的时间都是从0x1001最先申请的。 。。。缘故原由就是0x0001~0x0eff都是被SIG保存的。 。。。那么这些保存的值都各自对应了哪些protocol呢？？？？详细见下图。 。。。
代码382行判断p_rcb是否为NULL ，，，若是为空就挪用l2cu_reject_connection函数 ，，，详细看一下该函数代码。 。。。
从代码520行到523行 ，，，通过宏UINT6_TO_STREAM将数据写入p指向的内存中。 。。。
其中remote_cid就是之前越界读取的两个字节数据。 。。。结构好响应数据包后 ，，，代码525行挪用l2c_link_check_send_pkts将响应包发送到客户端。 。。。
在六月份android清静通告中 ，，，CVE-2018-9359、CVE-2018-9360、CVE-2018-9361三个误差的补丁是一样的。 。。。部分补丁代码如下。 。。。
可以看出 ，，，补丁中添加了长度判断。 。。。若是p+2>p_next_cmd不为真 ，，，说明保存data数据域 ，，，然后才最先读取字节。 。。。
3.2 CVE-2018-9365
（以下剖析基于android-8.0.0_r4版本源码）
CVE-2018-9365是SMP（security manager protocol）协议中一个数组越界误差。 。。。该误差泛起在smp_sm_event函数中 ，，，代码路径为：\smp\smp_main.cc。 。。。谷歌官方补丁代码如下。 。。。
从补丁中可以看到 ，，，这里判断了p_cb->role是否大于1 ，，，若是大于1报错返回 ，，，补丁代码下一行就是以p_cb->role为下标在smp_entry_table数组中查找。 。。。Smp_entry_table数组界说如下。 。。。
可以看到 ，，，smp_entry_table数组中只有两项 ，，，一个是针对主装备 ，，，一个是针对从装备。 。。。当有数据包通过L2CAP在SMP信道中吸收到时 ，，，会挪用smp_data_received函数举行处置惩罚。 。。。Smp_data_received函数代码如下。 。。。
代码146行定位到内存中SMP数据包位置。 。。。代码150行通过STREAM_TO_UINT8宏取出cmd。 。。。
第160行代码判断cmd的类型是否为配对请求指令或者清静请求指令。 。。。若是是 ，，，第164行最先对p_cb->role举行复制。 。。。通过名称判断 ，，，L2CA_GetBleConnRole函数应该是通过蓝牙地点获取蓝牙装备的角色信息。 。。。关于蓝牙装备来说 ，，，只有两种角色 ，，，一是主装备角色 ，，，二是从装备角色。 。。。L2CA_GetBleConnRole函数代码如下。 。。。
第201行界说了role ，，，同时给role赋值为HCI_ROLE_UNKNOWN。 。。。宏界说如下所示。 。。。
Role先被复制为0xff ，，，代码205行是通过蓝牙地点遍历寻找p_lcb ，，，若是p_lcb为空 ，，，则直接返回HCI_ROLE_UNKNOWN。 。。。P_cb->role被赋值为0xff后 ，，，后续代码直接挪用了smp_sm_event函数。 。。。代码如下所示。 。。。
挪用smp_sm_event函数 ，，，补丁前的代码在957行由于没有判断p_cb->role的巨细 ，，，导致数组越界会见。 。。。
4、总结
通过对多个蓝牙误差的剖析 ，，，发明Android蓝牙组件中的误差多是较为初级的代码bug导致的 ，，，并且误差多泛起在对数据包的剖析代码逻辑中。 。。。针对披露的这么多蓝牙误差 ，，，安卓手机用户还需实时更新官方推送的补丁 ，，，将清静隐患降低到最低。 。。。
5、相关链接
[1] https://android.googlesource.com/platform/system/bt/+/b66fc16410ff96e9119f8eb282e67960e79075c8%5E%21/#F0
[2] https://android.googlesource.com/platform/system/bt/+/ae94a4c333417a1829030c4d87a58ab7f1401308%5E%21/#F0
[3] https://blog.quarkslab.com/a-story-about-three-bluetooth-vulnerabilities-in-android.html
京公网安备11010802024551号