CVE-2026-0073 PoC (Wireless ADB TLS Auth Bypass)

Dieses Verzeichnis enthält einen Python Proof-of-Concept für CVE-2026-0073.

Das Skript wurde unter Verwendung KI-gestützter Codegenerierungstechniken erstellt.

Zusammenfassung

CVE-2026-0073 ist ein logisches Problem in der ADB-Daemon-Zertifikatsprüfung (adbd_tls_verify_cert in auth.cpp). Die anfällige Prüfung behandelt jede Rückgabe ungleich Null von EVP_PKEY_cmp(...) als erfolgreiche Übereinstimmung.

Die erwartete Behandlung des Vergleichsergebnisses sollte sein:

• 1 = Schlüssel stimmen überein
• 0 = Schlüssel stimmen nicht überein
• negative Werte = Fehler / nicht unterstützter Vergleich

In anfälligen Builds werden negative Werte als wahr behandelt und können ein Zertifikat fälschlicherweise als autorisiert markieren.

Was poc-cve-2026-0073.py macht

Das Skript:

1. Erstellt ein Nicht-RSA-Client-Zertifikat (ec oder ed25519).
2. Verbindet sich mit dem Ziel-ADB-TCP-Dienst.
3. Führt den CNXN -> STLS -> TLS-Handshake-Ablauf durch.
4. Authentifiziert sich über den anfälligen Zertifikatsvergleichspfad.
5. Öffnet einen Befehlsdienst (shell: mit exec: Fallback).
6. Gibt die Befehlsausgabe aus.

Anforderungen

• Python 3.10+ (empfohlen)
• Paket cryptography
• Wireless ADB auf dem Ziel aktiviert
• Netzwerkerreichbarkeit zum Ziel-ADB-Port
• Testberechtigung für das Zielgerät

Abhängigkeit installieren:

pip install cryptography

Verwendung

Ziel-ADB-Dienst erkennen (falls erforderlich):

adb mdns services

PoC ausführen:

python3 poc-cve-2026-0073.py <target_ip> [port] [command] [key_type] [--verbose]

Argumente:

• target_ip: IP-Adresse des Android-Zielgeräts
• port: ADB-Port (Standard: 5555)
• command: Auszuführender Befehl (Standard: id)
• key_type: ec oder ed25519 (Standard: ec)
• --verbose: Protokoll-Debug-Logs aktivieren

Beispiele:

python3 poc-cve-2026-0073.py 192.168.1.100 5555 id
python3 poc-cve-2026-0073.py 192.168.1.100 5555 whoami ec --verbose
python3 poc-cve-2026-0073.py 192.168.1.100 5555 getprop ed25519

Typische erfolgreiche Ausgabe

[*] Opening service: 'shell:id'
[*] After OPEN, received: OKAY  arg0=2  data=b''
[+] Stream open (local_id=1, remote_id=2)

[+] Command output:
----------------------------------------
uid=2000(shell) gid=2000(shell) ...
----------------------------------------

[+] Exploitation successful.

Fehlerbehebung

• Connection refused
  • Wireless ADB ist möglicherweise deaktiviert.
  • Falsche Ziel-IP/Port.
• certificate_unknown
  • Gerät ist wahrscheinlich für dieses Problem gepatcht.
  • Oder das Ziel hat keinen zulässigen vertrauenswürdigen Schlüsselstatus für diesen Authentifizierungspfad.
• Zeitüberschreitung beim Warten auf Antworten
  • Überprüfen Sie den Netzwerkpfad und die Verfügbarkeit des Ziel-ADB-Sockets.
  • Wiederholen Sie mit --verbose für Paketebenen-Traces.

Hinweise zur Patch-Level-Überprüfung

Das Sicherheitspatch-Level des Basis-Betriebssystems und das Patchen von Mainline-Modulen können unterschiedlich sein. Ein Gerät kann einen älteren monatlichen SPL anzeigen, während es neuere ADB-Modul-Fixes erhält.

Nützliche Prüfungen:

adb shell getprop ro.build.version.security_patch
adb shell pm list packages --apex-only | grep adbd
adb shell dumpsys package com.google.android.adbd | grep -E "versionCode|versionName|lastUpdateTime"

Verantwortungsvolle Nutzung

Verwenden Sie diesen PoC nur in autorisierten Umgebungen (eigene Laboreinrichtungen, ausdrückliche Genehmigung oder sanktionierte Tests). Führen Sie dies nicht gegen Systeme aus, die Ihnen nicht gehören oder für die Sie keine schriftliche Genehmigung zum Testen haben.

Referenzen

• Android Security Bulletin (Mai 2026)
• NVD-Eintrag für CVE-2026-0073
• AOSP ADB-Quellen (daemon/auth.cpp)