أداة استغلال تجاوز مصادقة TLS لـ ADB (CVE-2026-0073)

أداة ماسح شبكة واستغلال آلي لـ CVE-2026-0073، وهي ثغرة في خفيضة تصحيح أخطاء أندرويد (adbd) تسمح بتنفيذ أوامر عن بُعد غير مصرح به (RCE) وفتح شل تفاعلي عبر التصحيح اللاسلكي.

هذه الأداة محسنة خصيصًا لأجهزة أندرويد الحديثة (أندرويد 13 فأحدث)، وتتميز بـ الاكتشاف التلقائي عبر mDNS لتحديد منافذ ADB العشوائية وشل PTY خام تفاعلي بالكامل.

🚨 ملخص الثغرة (نشرة أمان أندرويد)

CVE ID: CVE-2026-0073

Android Issue ID: A-469080888

التأثير: RCE (تنفيذ أوامر عن بُعد)

الخطورة: حرجة

الإصدارات المتأثرة رسميًا: أندرويد 14, 15, 16, 16-qpr2 ........ بعض المصادر تشير إلى أن بعض أجهزة أندرويد 13 معرضة أيضًا

⚠️ إخلاء مسؤولية: هذه الأداة مقدمة لأغراض البحث الأمني التعليمي المصرح به فقط. لا تستخدمها ضد شبكات أو أجهزة لا تملكها أو ليس لديك إذن صريح لاختبارها.

📖 الخلفية والمراجع

تستخدم أجهزة أندرويد الحديثة المصادقة المتبادلة عبر TLS للتصحيح اللاسلكي لمنع الاتصالات غير المصرح بها. ومع ذلك، تكشف CVE-2026-0073 عن خلل تشفيري: عندما يعالج adbd شهادة عميل تستخدم مفاتيح غير RSA (مثل المنحنى البيضاوي ec أو ed25519)، فإن دالة OpenSSL الداخلية EVP_PKEY_cmp تُرجع رمز خطأ لا تتم معالجته بشكل صحيح، مما يؤدي فعليًا إلى تجاوز التحقق من المصادقة بالكامل.

لمزيد من القراءة والتحليل التقني العميق لهذه الثغرة، راجع المصادر التالية:

• غوص تقني في الثغرة: Barghest - CVE-2026-0073 ADB TLS Auth Bypass
• استغلال عملي: Mobile Hacker - Android RCE via Wireless Debugging: From Network Access to Shell

ملاحظة حول قابلية الأجهزة للاستغلال: بينما يُوثق هذا العيب بشكل عام لإصدارات معينة من أندرويد، أظهرت الاختبارات الواقعية نتائج مفاجئة عبر تطبيقات OEM المختلفة. كما لاحظ مؤلف مدونة Mobile Hacker: "أثناء اختباري، لسبب ما، تمكنت من استغلال أندرويد 13 أيضًا، انظر الشكل 1. وتحديدًا جهاز Oppo Reno5 Z."

⚙️ المتطلبات الأساسية

1. Python 3.7+
2. OpenSSL مثبت ومتاح في PATH الخاص بنظامك.
3. مكتبة zeroconf بايثون (للمسح الشبكي).

# تثبيت حزمة بايثون المطلوبة
pip install zeroconf

🚀 الاستخدام

1. الوضع التلقائي (موصى به)

ما عليك سوى تشغيل البرنامج النصي بدون أي وسائط. سيقوم بالاستماع إلى الشبكة المحلية لمدة 4 ثوانٍ، والتقاط بثوث mDNS لأي أجهزة أندرويد مع تمكين التصحيح اللاسلكي، ثم عرض قائمة للاختيار.

python3 adb_tls_exploit.py

مثال على المخرجات:

[*] Scanning local network for Android 13+ devices for 4 seconds...

[+] Found active Android devices:

    [1] 192.168.1.15    : 43881 | Pixel 7
    [2] 192.168.1.42    : 39105 | Oppo Reno5 Z

Select a device to target [1-2]: 2

============================================================
  ADB TLS Auth Bypass -> Interactive Shell
============================================================
[*] Target   : 192.168.1.42:39105
[*] Key type : ec

[*] Generating ec self-signed certificate via openssl...
[+] Server requested STLS. Upgrading to TLS...
[+] TLS handshake accepted — mutual authentication bypassed!
[*] Authenticated! Opening interactive shell service...

[+] Shell obtained! (Press Ctrl+D to exit)

Reno5Z:/ $ id
uid=2000(shell) gid=2000(shell) groups=2000(shell),1004(input),1007(log),1011(adb)...

2. الوضع اليدوي

إذا كنت تعرف بالفعل عنوان IP والمنفذ العشوائي (أو إذا كنت تستهدف جهازًا قديمًا على المنفذ 5555 مع التصحيح الذي يتطلب TLS)، يمكنك تجاوز الماسح:

python3 adb_tls_exploit.py <IP_ADDRESS> <PORT> [--key ec|ed25519] [--verbose]

# مثال
python3 adb_tls_exploit.py 192.168.1.50 42069 --key ec

🛠️ كيف يعمل (تحت الغطاء)

1. مرحلة استطلاع mDNS: يستخدم البرنامج النصي مكتبة zeroconf للاستماع السلبي لخدمات _adb-tls-connect._tcp.local.. وهذا يسمح له برسم خريطة فورية للأهداف دون مسح ضوضاء أو بطء لمسح منافذ TCP.
2. المصافحة النصية: يتصل البرنامج النصي بالمنفذ الهدف ويرسل حزمة ADB CNXN قياسية تعلن عن دعم TLS (tls_auth).
3. ترقية STLS: يستجيب جهاز أندرويد بـ STLS، مما يفرض اتصالًا آمنًا.
4. الاستغلال (مصافحة TLS): يغلف البرنامج النصي المقبس في TLS ويقدم شهادة موقعة ذاتيًا تم إنشاؤها حديثًا باستخدام مفتاح منحنى بيضاوي (ec) أو ed25519.
5. تجاوز المصادقة: يحاول adbd التحقق من المفتاح. نظرًا لأن المفتاح ليس RSA، فإن EVP_PKEY_cmp تُرجع -1 أو -2. الكود المعيب داخل أندرويد يفسر هذه القيمة غير الصفرية بشكل خاطئ على أنها تطابق تشفيري ناجح.
6. تعدد الإرسال الدفق: بمجرد إنشاء نفق TLS، ترسل الأداة حزمة مع وجهة ، وتوصل تيارات الإدخال/الإخراج القياسية بمحطتك الطرفية، مما يمنحك شل كامل غير مميز ().

⚠️ استكشاف الأخطاء وإصلاحها

• تحذير "[-] TLS Handshake rejected" أو "certificate_unknown":
  • قد يكون الجهاز قد تم تصحيحه ضد CVE-2026-0073 (مستوى التصحيح الأمني >= مايو 2026).
  • لم يتم إقران الجهاز أبدًا بجهاز كمبيوتر مصرح به من قبل، مما يعني أن ملف /data/misc/adb/adb_keys فارغ تمامًا. يتطلب الاستغلال وجود مفتاح واحد على الأقل (حتى لو غير ذي صلة) في مخزن المفاتيح لتفعيل مقارنة الحلقة المعيبة.
• "OpenSSL failed" / "Ensure 'openssl' is installed":
  • تحتاج إلى تثبيت ثنائيات OpenSSL على نظام المضيف (على سبيل المثال، apt install openssl، أو brew install openssl، أو تثبيتها عبر ثنائيات ويندوز).
• الماسح لا يعثر على شيء:
  • تأكد من أن جهاز المهاجم وجهاز أندرويد على نفس شبكة Wi-Fi الفرعية تمامًا وأن عزل نقطة الوصول معطل.