🔥 نظرة عامة

تجاوز مصادقة حرج في خدمة ADB في أندرويد (adbd) يسمح لأي مهاجم على الشبكة المحلية بالحصول على shell كامل على الجهاز المستهدف دون إذن المستخدم.

توجد الثغرة في adbd_tls_verify_cert() داخل daemon/auth.cpp، حيث يتم استخدام EVP_PKEY_cmp() كقيمة منطقية. عندما يكون المفتاح المخزن RSA ويحمل شهادة عميل TLS المقدمة مفتاحًا غير RSA (EC P-256 أو Ed25519)، فإن EVP_PKEY_cmp() تُرجع -1 (عدم تطابق النوع)، وهو قيمة صحيحة في C/C++، لذا يصبح authorized = true.

// نمط الكود الضعيف في daemon/auth.cpp
if (EVP_PKEY_cmp(peer_key, stored_key)) {  // ← خطأ: -1 قيمة صحيحة!
    authorized = true;
}

⚡ بدء سريع

تثبيت التبعيات

pip install cryptography

تشغيل الاستغلال

# shell تفاعلي
python adb_tls_auth_bypass.py <TARGET_IP> <PORT>

# تنفيذ أمر واحد
python adb_tls_auth_bypass.py 192.168.1.42 37521 --cmd "id"

# وضع تفصيلي (رؤية تتبع البروتوكول الكامل)
python adb_tls_auth_bypass.py 192.168.1.42 37521 -v --cmd "id"

فرض نوع مفتاح محدد

python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ec
python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ed25519

افتراضيًا، يحاول السكربت تلقائيًا EC P-256 ← Ed25519 ← EC/TLS 1.2 حتى ينجح أحدها.

🎯 تدفق الاستغلال

   المهاجم                          الهدف (adbd)
      │                                    │
      │──── اتصال TCP ────────────────────►│
      │──── CNXN (نص واضح) ───────────────►│
      │◄─── STLS (طلب ترقية TLS) ─────────│
      │──── رد STLS ──────────────────────►│
      │                                    │
      │════ مصافحة TLS 1.3 ═══════════════│
      │  (شهادة عميل EC P-256 مقدمة)       │
      │  EVP_PKEY_cmp(EC, RSA) → -1       │
      │  -1 قيمة صحيحة → authorized=true │
      │════════════════════════════════════│
      │                                    │
      │◄─── CNXN (معلومات الجهاز) ────────│
      │──── OPEN "shell:" ────────────────►│
      │◄─── OKAY ─────────────────────────│
      │◄──► WRTE/OKAY (إدخال/إخراج shell) │
      │                                    │
    [وصول كامل إلى shell]                  │

📋 المتطلبات الأساسية

⚠️ مهم: يجب أن يكون مفتاح RSA في /data/misc/adb/adb_keys، والذي يتم ملؤه عبر إقران تصحيح USB (قبول نافذة "السماح بتصحيح USB؟"). إقران التصحيح اللاسلكي (adb pair) يخزن المفاتيح في موقع مختلف (adb_known_hosts.pb) ولا يفي بهذا المتطلب.

🛡️ الإصدارات المتأثرة

• أندرويد 14 (AOSP) — ✅ مؤكد تأثره
• أندرويد 15 (AOSP) — من المحتمل تأثره (إصدارات غير مصححة)
• قد تختلف الإصدارات الخاصة بالمصنعين (Samsung One UI، Pixel، إلخ)

كيفية التحقق من مستوى التصحيح

adb shell getprop ro.build.version.security_patch

🧪 بيئة الاختبار

تم اختباره وتأكيد عمله على:

Kernel:   6.1.23-android14-4-00257-g7e35917775b8-ab9964412
Platform: Android 14 (Android Studio Emulator)

🔧 التحسينات عن الأصل

يتضمن هذا الفرع عدة تحسينات:

• ✅ التراجع متعدد المفاتيح — يحاول تلقائيًا EC P-256 ← Ed25519 ← EC/TLS 1.2
• ✅ دعم Ed25519 — نوع مفتاح بديل لتوافق أوسع
• ✅ التراجع إلى TLS 1.2 — تدفق شهادة عميل مختلف (يُرسل أثناء المصافحة مقابل بعد المصافحة)
• ✅ شهادة محسّنة — امتدادات X.509 صحيحة (BasicConstraints، KeyUsage)
• ✅ متوافق مع ويندوز — يستخدم إدخال/إخراج مترابط بدلاً من select() لدعم عبر المنصات
• ✅ مهلات زمنية متزايدة — موثوقية أفضل على الشبكات الأبطأ
• ✅ تشخيصات تفصيلية — تتبع بروتوكول مفصل مع علامة -v

📁 هيكل المشروع

CVE-2026-0073-Android-ADBD-bypass-POC/
├── adb_tls_auth_bypass.py    # سكربت الاستغلال الرئيسي
└── README.md                 # هذا الملف

⚠️ إخلاء مسؤولية

هذه الأداة مقدمة لأغراض الاختبار الأمني المصرح به والتعليم فقط. الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني. احصل دائمًا على إذن مناسب قبل الاختبار. لا يتحمل المؤلف أي مسؤولية عن إساءة استخدام هذا البرنامج.

📚 المراجع

• CVE-2026-0073 — MITRE
• نشرة أمان أندرويد
• توثيق OpenSSL EVP_PKEY_cmp
• مرجع بروتوكول ADB