🔓 CVE-2026-0073: تجاوز مصادقة adbd في أندرويد

إثبات مفهوم مسلّح لثغرة تجاوز مصادقة TLS في ADB اللاسلكي. اكتُشفت بواسطة Barghest، وإثبات المفهوم المسلّح بواسطة devtint.

📋 نظرة عامة

CVE-2026-0073 هو خلل منطقي حرج في التشفير داخل برنامج جسر تصحيح أندرويد (adbd) يمنح مهاجمًا غير مصادق على نفس الشبكة المحلية وصولًا جذريًا عن بُعد بدون أي نقرة (Zero-Click).

يحتوي هذا المستودع على:

• adb_tls_auth_bypass.py — إثبات مفهوم نظيف ومستقل لتجاوز مصادقة STLS/TLS.
• main.py — إطار استغلال موسّع مع تحديد ملفات تلقائي، واستخراج القطع الأثرية، وحقن الاستمرارية.

الخلل التشفيري

توجد الثغرة داخل daemon/auth.cpp في دالة adbd_tls_verify_cert(). عندما يتصل عميل عبر ADB اللاسلكي (مسار STLS)، يحدث مصافحة TLS 1.3 متبادلة. يقارن الجهاز المفتاح العام للعميل مع المفاتيح المخزنة المصرح بها باستخدام EVP_PKEY_cmp() من OpenSSL.

// daemon/auth.cpp — المنطق المعرض للثغرة
if (EVP_PKEY_cmp(stored_key, client_key)) {
    // EVP_PKEY_cmp تُرجع:
    //   1  = المفاتيح متطابقة
    //   0  = المفاتيح مختلفة
    //  -1  = عدم تطابق النوع (RSA مقابل EC)  ← خطأ: تُعتبر صحيحة في C++
    authorized = true;
}

• إذا كان المفتاح المخزن RSA وقدّم العميل مفتاح EC P-256، فإن EVP_PKEY_cmp() تُرجع -1 (عدم تطابق النوع).
• في C/C++، تُقيَّم -1 على أنها true.
• يفسّر منطق adbd هذه القيمة -1 على أنها تطابق تام.
• يمنح الجهاز بصمت قشرة جذرية دون إيقاظ الشاشة أو مطالبة الضحية.

⚠️ مهم: STLS مقابل AUTH — متطلبات المنفذ

يعمل هذا الاستغلال فقط على مسار STLS للتصحيح اللاسلكي، وليس على مسار adb tcpip القديم.

كيفية تحديد المنفذ الصحيح

1. على الجهاز المستهدف: الإعدادات ← خيارات المطور ← التصحيح اللاسلكي ← تشغيل
2. تظهر عنوان IP والمنفذ العشوائي على تلك الشاشة (مثل: 192.168.1.34:38741)
3. يتغير هذا المنفذ في كل مرة يتم فيها تبديل التصحيح اللاسلكي أو إعادة اتصال الجهاز بشبكة Wi-Fi

خطأ: "استجاب الجهاز بـ AUTH بدلاً من STLS"

هذا يعني أنك تتصل بـ منفذ ADB TCP قديم (عادةً 5555). يستخدم المسار القديم مصافحة RSA AUTH القديمة — وهي مسار كود مختلف تمامًا في adbd غير متأثر بهذه الثغرة. يجب عليك الاتصال بمنفذ التصحيح اللاسلكي بدلاً من ذلك.

⚡ القدرات الموسعة

يوسّع الإطار (main.py) تجاوز TLS الأساسي إلى مجموعة أدوات ما بعد الاستغلال معيارية:

• 💻 قشرة تفاعلية: تنتقل مباشرة إلى طرفية زائفة مستقرة ودائمة uid=0(root).
• 🔍 تحديد الملفات تلقائيًا (--profile): يحدد فورًا نظام التشغيل المستهدف، ومستوى تصحيح الأمان، وتطبيق SELinux، وجداول التوجيه النشطة لاختراق الشبكة الداخلية.
• 📂 استخراج القطع الأثرية (--extract): يستخرج تلقائيًا ملفات النظام شديدة الحساسية (مثل: /data/misc/adb/adb_keys، /system/build.prop) مباشرة عبر مقبس التجاوز.
• 🔑 استمرارية خفية (--persist): يحقن مفتاح RSA عام مارق في ملف المفاتيح المصرح بها للهدف. بمجرد الحقن، يحتفظ المهاجم بوصول دائم ومصادق بالكامل حتى لو تم تصحيح الثغرة لاحقًا.

🏃 الاستخدام

1. تثبيت التبعيات:

   root@kitploit:~

   pip install cryptography
   

2. تحديد الهدف: ابحث عن جهاز أندرويد مع التصحيح اللاسلكي مفعّلًا على شبكتك المحلية. لاحظ المنفذ الديناميكي من شاشة خيارات المطور بالجهاز.

3. تنفيذ إطار الاستغلال:

   root@kitploit:~

   # قشرة تفاعلية (افتراضي)
   python main.py <IP> <PORT>
   
   # تنفيذ أمر واحد
   python main.py <IP> <PORT> --cmd "id"
   
   # تحديد ملفات النظام تلقائيًا
   python main.py <IP> <PORT> --profile
   
   # استخراج القطع الأثرية الخفي
   python main.py <IP> <PORT> --extract
   
   # حقن مفتاح باب خلفي دائم
   python main.py <IP> <PORT> --persist
   

4. إثبات مفهوم مستقل (حد أدنى):

   root@kitploit:~

   python adb_tls_auth_bypass.py <IP> <PORT> --cmd "id; whoami"
   

🔧 استكشاف الأخطاء وإصلاحها

🛡️ التخفيف

• التصحيح: حدّث إلى نشرة أمان أندرويد لشهر مايو 2026 (2026-05-01 أو أحدث).
• تعطيل الخدمة: أبقِ التصحيح اللاسلكي معطّلًا عندما لا تقوم بتحليل تطبيق بنشاط.
• تدوير المفاتيح: قم بشكل دوري بـ "إبطال تفويضات تصحيح USB" في خيارات المطور لتنظيف مفاتيح RSA القديمة من مخزن مفاتيح الجهاز.

⚖️ إخلاء مسؤولية قانوني

هذا المستودع مخصص حصريًا للأغراض التعليمية، واختبار الاختراق، واختبارات الأمان المصرح بها فقط. الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني. لا يتحمل المؤلف أي مسؤولية عن إساءة استخدام هذه المعلومات.