🔥 Übersicht

In Android's ADB-Daemon (adbd) existiert eine kritische Schwachstelle zur Umgehung der Authentifizierung, die es jedem Angreifer im lokalen Netzwerk ermöglicht, vollständigen Shell-Zugriff auf dem Zielgerät zu erlangen, ohne dass eine Benutzerautorisierung erforderlich ist.

Die Schwachstelle befindet sich in der Funktion adbd_tls_verify_cert() in der Datei daemon/auth.cpp, in der EVP_PKEY_cmp() als boolescher Wert verwendet wird. Wenn der gespeicherte Schlüssel ein RSA-Schlüssel ist und das vorgelegte TLS-Clientzertifikat einen Nicht-RSA-Schlüssel (EC P-256 oder Ed25519) trägt, gibt EVP_PKEY_cmp() -1 (Typkonflikt) zurück, was in C/C++ als wahr ausgewertet wird, sodass authorized = true gesetzt wird.

// daemon/auth.cpp 中的易受攻击代码模式
if (EVP_PKEY_cmp(peer_key, stored_key)) { // ← BUG: -1 是真值！
已授权 = true；
}

⚡ Schnellstart

Abhängigkeiten installieren

pip install cryptography

Exploit ausführen

# 交互式 shell
python adb_tls_auth_bypass.py <TARGET_IP> <PORT>

# 单命令执行
python adb_tls_auth_bypass.py 192.168.1.42 37521 --cmd "id"

# 详细模式（查看完整协议跟踪）
python adb_tls_auth_bypass.py 192.168.1.42 37521 -v --cmd "id"

Bestimmten Schlüsseltyp erzwingen

python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ec
python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ed25519

Standardmäßig versucht das Skript automatisch EC P-256 → Ed25519 → EC/TLS 1.2, bis es erfolgreich ist.

🎯 Exploit-Ablauf

攻击者目标（adbd）
      │                                    │
│──── TCP 连接 ──────────────────►│
│──── CNXN（明文）────────────►│
│◄─── STLS（TLS 升级请求）──│
│──── STLS 回复 ──────────────────►│
      │                                    │
│════ TLS 1.3 握手 ════════════│
│（已提交 EC P-256 客户证书）│
│ EVP_PKEY_cmp(EC, RSA) → -1 │
│ -1 为真 → authorized=true │
│      │════════════════════════════════════│
│      │                                    │
│◄─── CNXN（设备信息）──────────│
│──── 打开“shell:” ───────────────►│
│◄─── 好的 ────────────────────────│
│◄──► WRTE/OKAY（shell I/O）──────►│
      │                                    │
【完全 shell 访问权限】

📋 Voraussetzungen

⚠️ Wichtig: Der RSA-Schlüssel muss in der Datei /data/misc/adb/adb_keys liegen, die durch USB-Debugging-Kopplung (Akzeptieren des Dialogs „USB-Debugging erlauben?“) befüllt wird. Die Kopplung über drahtloses Debugging (adb pair) speichert die Schlüssel an einem anderen Ort (adb_known_hosts.pb) und erfüllt daher diese Anforderung nicht.

🛡️ Betroffene Versionen

• Android 14 (AOSP) — ✅ Schwachstelle bestätigt
• Android 15 (AOSP) — Möglicherweise verwundbar (ungepatchte Versionen)
• Die Versionen der verschiedenen Hersteller können abweichen (z. B. Samsung One UI, Pixel usw.).

So prüfen Sie den Patch-Stand

adb shell getprop ro.build.version.security_patch

🧪 Testumgebung

Die Funktionsfähigkeit wurde auf folgendem Gerät getestet und bestätigt:

内核：6.1.23-android14-4-00257-g7e35917775b8-ab9964412
平台：Android 14（Android Studio 模拟器）

🔧 Verbesserungen gegenüber dem Original

Dieser Fork enthält die folgenden Verbesserungen:

• ✅ Multi-Key-Fallback — Versucht automatisch EC P-256 → Ed25519 → EC/TLS 1.2
• ✅ Ed25519-Unterstützung — Alternativer Schlüsseltyp für breitere Kompatibilität
• ✅ TLS-1.2-Fallback — Anderer Client-Zertifikatsablauf (vor vs. nach dem Handshake gesendet)
• ✅ Erweiterte Zertifikate — Korrekte X.509-Erweiterungen (BasicConstraints, KeyUsage)
• ✅ Windows-kompatibel — Verwendet Thread-I/O anstelle von select() für plattformübergreifende Unterstützung
• ✅ Erhöhte Timeouts — Höhere Zuverlässigkeit in langsameren Netzwerken
• ✅ Detaillierte Diagnose — Zeigt mit -v-Flag eine detaillierte Protokollverfolgung an

📁 Projektstruktur

CVE-2026-0073-Android-ADBD-bypass-POC/
├── adb_tls_auth_bypass.py # 主漏洞利用脚本
└── README.md # 此文件

⚠️ Haftungsausschluss

Dieses Tool ist ausschließlich für autorisierte Sicherheitstests und Bildungszwecke bestimmt. Der unbefugte Zugriff auf Computersysteme ist illegal. Holen Sie vor dem Testen unbedingt eine entsprechende Genehmigung ein. Die Autoren übernehmen keine Verantwortung für Missbrauch dieser Software.

📚 Referenzen

• CVE-2026-0073 — MITRE
• Android-Sicherheitsbulletin
• OpenSSL EVP_PKEY_cmp-Dokumentation
• ADB-Protokollreferenz