CVE-2026-0073 PoC (Wireless ADB TLS Auth Bypass)

Dieses Verzeichnis enthält einen Python-Proof-of-Concept für CVE-2026-0073.

Das Skript wurde mit KI-gestützten Codegenerierungstechniken erstellt.

Zusammenfassung

CVE-2026-0073 ist ein Logikfehler in der Zertifikatsprüfung des ADB-Daemons (adbd_tls_verify_cert in auth.cpp). Die anfällige Prüfung behandelt jeden Rückgabewert ungleich Null von EVP_PKEY_cmp(...) als erfolgreiche Übereinstimmung.

Die erwartete Behandlung des Vergleichsergebnisses sollte sein:

• 1 = Schlüssel stimmen überein
• 0 = Schlüssel stimmen nicht überein
• negative Werte = Fehler / nicht unterstützter Vergleich

In anfälligen Builds werden negative Werte als wahr behandelt und können ein Zertifikat fälschlicherweise als autorisiert markieren.

Was poc-cve-2026-0073.py tut

Das Skript:

1. Erstellt ein Nicht-RSA-Clientzertifikat (ec oder ed25519).
2. Verbindet sich mit dem Ziel-ADB-TCP-Dienst.
3. Führt den CNXN -> STLS -> TLS-Handshake-Ablauf durch.
4. Authentifiziert sich über den anfälligen Zertifikatsvergleichspfad.
5. Öffnet einen Befehlsdienst (shell: mit exec:-Fallback).
6. Gibt die Befehlsausgabe aus.

Anforderungen

• Python 3.10+ (empfohlen)
• cryptography-Paket
• Wireless ADB auf dem Zielgerät aktiviert
• Netzwerkerreichbarkeit zum ADB-Port des Zielgeräts
• Testautorisierung für das Zielgerät

Abhängigkeit installieren:

pip install cryptography

Verwendung

ADB-Dienst des Ziels ermitteln (falls erforderlich):

adb mdns services

PoC ausführen:

python3 poc-cve-2026-0073.py <target_ip> [port] [command] [key_type] [--verbose]

Argumente:

• target_ip: IP-Adresse des Ziel-Android-Geräts
• port: ADB-Port (Standard: 5555)
• command: Auszuführender Befehl (Standard: id)
• key_type: ec oder ed25519 (Standard: ec)
• --verbose: Protokolldebug-Logs aktivieren

Beispiele:

python3 poc-cve-2026-0073.py 192.168.1.100 5555 id
python3 poc-cve-2026-0073.py 192.168.1.100 5555 whoami ec --verbose
python3 poc-cve-2026-0073.py 192.168.1.100 5555 getprop ed25519

Typische erfolgreiche Ausgabe

[*] Opening service: 'shell:id'
[*] After OPEN, received: OKAY  arg0=2  data=b''
[+] Stream open (local_id=1, remote_id=2)

[+] Command output:
----------------------------------------
uid=2000(shell) gid=2000(shell) ...
----------------------------------------

[+] Exploitation successful.

Fehlerbehebung

• Connection refused

  • Wireless ADB ist möglicherweise deaktiviert.
  • Falsche Ziel-IP/Port.

• certificate_unknown

  • Das Gerät ist wahrscheinlich gegen dieses Problem gepatcht.
  • Oder das Ziel hat keinen geeigneten vertrauenswürdigen Schlüsselstatus für diesen Authentifizierungspfad.

• Timeout beim Warten auf Antworten

  • Netzwerkpfad und Verfügbarkeit des Ziel-ADB-Sockets prüfen.
  • Mit --verbose für Paketebenen-Traces erneut versuchen.

Hinweise zu Patchlevel-Prüfungen

Das Sicherheitspatchlevel des Basisbetriebssystems und das Patchen der Mainline-Module können sich unterscheiden. Ein Gerät kann einen älteren monatlichen SPL anzeigen, während es neuere ADB-Modulkorrekturen erhält.

Nützliche Prüfungen:

adb shell getprop ro.build.version.security_patch
adb shell pm list packages --apex-only | grep adbd
adb shell dumpsys package com.google.android.adbd | grep -E "versionCode|versionName|lastUpdateTime"

Verantwortungsvolle Nutzung

Verwenden Sie diesen PoC nur in autorisierten Umgebungen (eigene Laborgeräte, ausdrückliche Genehmigung oder genehmigte Tests). Führen Sie ihn nicht gegen Systeme aus, die Sie nicht besitzen oder für die Sie keine schriftliche Genehmigung zum Testen haben.

Referenzen

• Android Security Bulletin (Mai 2026)
• NVD-Eintrag für CVE-2026-0073
• AOSP-ADB-Quellen (daemon/auth.cpp)