ADB TLS-Authentifizierungsumgehungs-Exploit (CVE-2026-0073)

Ein automatisierter Netzwerkscanner und Exploitationstool für CVE-2026-0073, eine Schwachstelle im Android Debug Bridge-Daemon (adbd), die unauthorisierte Remote-Codeausführung (RCE) und interaktiven Shell-Zugriff über Wireless Debugging ermöglicht.

Dieses Tool ist speziell für moderne Android-Geräte (Android 13+) optimiert und bietet eine mDNS-Autoerkennung zum Auffinden randomisierter ADB-Ports sowie eine vollständig interaktive raw PTY-Shell.

🚨 Schwachstellenzusammenfassung (Android Security Bulletin)

CVE-ID: CVE-2026-0073

Android Issue ID: A-469080888

Auswirkung: RCE (Remote Code Execution)

Schweregrad: Kritisch

Offiziell betroffene Versionen: Android 14, 15, 16, 16-qpr2 … einige behaupten, dass einige Android 13-Geräte ebenfalls anfällig sind

⚠️ Haftungsausschluss: Dieses Tool dient ausschließlich zu Bildungs- und autorisierten Sicherheitsforschungszwecken. Verwenden Sie es nicht gegen Netzwerke oder Geräte, die Ihnen nicht gehören oder für deren Test Sie keine ausdrückliche Erlaubnis haben.

📖 Hintergrund & Referenzen

Moderne Android-Geräte verwenden für Wireless Debugging gegenseitige TLS-Authentifizierung, um unautorisierte Verbindungen zu verhindern. CVE-2026-0073 legt jedoch einen kryptografischen Fehler offen: Wenn adbd ein Client-Zertifikat mit Nicht-RSA-Schlüsseln (wie Elliptic Curve ec oder ed25519) verarbeitet, gibt die interne OpenSSL-Funktion EVP_PKEY_cmp einen Fehlercode zurück, der nicht korrekt behandelt wird – die Authentifizierungsprüfung wird effektiv umgangen.

Weiterführende Literatur und tiefgehende technische Analysen dieser Schwachstelle finden Sie in folgenden Ressourcen:

Schwachstellendetailanalyse: Barghest - CVE-2026-0073 ADB TLS Auth Bypass
Reale Ausnutzung: Mobile Hacker - Android RCE via Wireless Debugging: From Network Access to Shell

Hinweis zur Anfälligkeit von Geräten: Obwohl dieser Fehler allgemein für bestimmte Android-Versionen dokumentiert ist, haben Tests in der Praxis überraschende Ergebnisse bei verschiedenen OEM-Implementierungen gezeigt. Wie der Autor des Mobile Hacker-Blogs anmerkte: "Während meines Tests konnte ich aus irgendeinem Grund auch Android 13 ausnutzen, siehe Abbildung 1. Konkret: Oppo Reno5 Z."

⚙️ Voraussetzungen

Python 3.7+
OpenSSL installiert und im PATH Ihres Systems verfügbar.
Die Python-Bibliothek zeroconf (für das Netzwerkscanning).

# Installieren Sie das erforderliche Python-Paket
pip install zeroconf

🚀 Verwendung

1. Automatischer Modus (empfohlen)

Führen Sie das Skript einfach ohne Argumente aus. Es lauscht 4 Sekunden lang auf dem lokalen Netzwerk, fängt die mDNS-Broadcasts aller Android-Geräte mit aktiviertem Wireless Debugging auf und zeigt Ihnen ein Menü an.

python3 adb_tls_exploit.py

Beispielausgabe:

[*] Scanne lokales Netzwerk nach Android 13+-Geräten für 4 Sekunden...

[+] Aktive Android-Geräte gefunden:

    [1] 192.168.1.15    : 43881 | Pixel 7
    [2] 192.168.1.42    : 39105 | Oppo Reno5 Z

Wählen Sie ein Zielgerät [1-2]: 2

============================================================
  ADB TLS Auth Bypass -> Interaktive Shell
============================================================
[*] Ziel     : 192.168.1.42:39105
[*] Schlüsseltyp: ec

[*] Erstelle selbstsigniertes ec-Zertifikat via openssl...
[+] Server fordert STLS an. Upgrade auf TLS...
[+] TLS-Handshake akzeptiert – gegenseitige Authentifizierung umgangen!
[*] Authentifiziert! Öffne interaktiven Shell-Dienst...

[+] Shell erhalten! (Drücken Sie Ctrl+D zum Beenden)

Reno5Z:/ $ id
uid=2000(shell) gid=2000(shell) groups=2000(shell),1004(input),1007(log),1011(adb)...

2. Manueller Modus

Wenn Sie die Ziel-IP und den randomisierten Port bereits kennen (oder ein Legacy-Gerät auf Port 5555 angreifen, das auf TLS umgestellt wurde), können Sie den Scanner überspringen:

python3 adb_tls_exploit.py <IP_ADRESSE> <PORT> [--key ec|ed25519] [--verbose]

# Beispiel
python3 adb_tls_exploit.py 192.168.1.50 42069 --key ec

🛠️ Funktionsweise (unter der Haube)

mDNS-Aufklärungsphase: Das Skript nutzt die zeroconf-Bibliothek, um passiv auf _adb-tls-connect._tcp.local.-Dienste zu lauschen. So können Ziele sofort kartiert werden, ohne lautes oder langsames TCP-Port-Sweeping.
Klartext-Handshake: Das Skript verbindet sich mit dem Zielport und sendet ein standardmäßiges ADB-CNXN-Paket, das TLS-Unterstützung (tls_auth) ankündigt.
STLS-Upgrade: Das Android-Gerät antwortet mit STLS und fordert eine sichere Verbindung.
Der Exploit (TLS-Handshake): Das Skript umschließt den Socket mit TLS und präsentiert ein frisch generiertes, selbstsigniertes Zertifikat mit einem Elliptic-Curve- (ec) oder ed25519-Schlüssel.
Authentifizierungsumgehung: adbd versucht, den Schlüssel zu verifizieren. Da der Schlüssel nicht RSA ist, gibt EVP_PKEY_cmp -1 oder -2 zurück. Der anfällige Code in Android interpretiert diesen von Null abweichenden Rückgabewert fälschlicherweise als erfolgreiche kryptografische Übereinstimmung.

⚠️ Fehlerbehebung

„[-] TLS-Handshake abgelehnt“ oder „certificate_unknown“-Meldung:
- Das Gerät wurde möglicherweise gegen CVE-2026-0073 gepatcht (Sicherheitspatch-Level >= Mai 2026).
- Das Gerät wurde nie mit einem autorisierten PC gekoppelt, d.h. seine Datei /data/misc/adb/adb_keys ist völlig leer. Der Exploit benötigt mindestens einen vorhandenen (auch nicht verwandten) Schlüssel im Keystore, um den fehlerhaften Schleifenvergleich auszulösen.
„OpenSSL fehlgeschlagen“ / „Stellen Sie sicher, dass 'openssl' installiert ist“:
- Sie benötigen die OpenSSL-Binärdateien auf Ihrem Host-System (z.B. apt install openssl, brew install openssl oder Installation über Windows-Binärdateien).
Scanner findet nichts:
- Stellen Sie sicher, dass sich der Angreifer-Rechner und das Android-Gerät im exakt selben Wi-Fi-Netzwerk-Subnetz befinden und die AP-Isolierung deaktiviert ist.

CVE-2026-0073

Beliebteste