PoC CVE-2026-0073 (Omisión de Autenticación TLS de ADB Inalámbrico)

Este directorio contiene una prueba de concepto en Python para CVE-2026-0073.

El script se genera mediante técnicas de generación de código asistidas por IA.

Resumen

CVE-2026-0073 es un problema de lógica en la verificación de certificados del daemon de ADB (adbd_tls_verify_cert en auth.cpp). La comprobación vulnerable trata cualquier valor distinto de cero devuelto por EVP_PKEY_cmp(...) como una coincidencia exitosa.

El manejo esperado del resultado de la comparación debería ser:

• 1 = las claves coinciden
• 0 = las claves no coinciden
• valores negativos = error / comparación no compatible

En compilaciones vulnerables, los valores negativos se tratan como verdaderos y pueden marcar incorrectamente un certificado como autorizado.

Qué hace poc-cve-2026-0073.py

El script:

1. Crea un certificado de cliente no RSA (ec o ed25519).
2. Se conecta al servicio TCP de ADB objetivo.
3. Realiza el flujo de handshake CNXN -> STLS -> TLS.
4. Se autentica mediante la ruta de comparación de certificados vulnerable.
5. Abre un servicio de comandos (shell: con respaldo exec:).
6. Imprime la salida del comando.

Requisitos

• Python 3.10+ (recomendado)
• Paquete cryptography
• ADB inalámbrico habilitado en el objetivo
• Acceso de red al puerto ADB del objetivo
• Autorización de pruebas para el dispositivo objetivo

Instalar la dependencia:

pip install cryptography

Uso

Descubrir el servicio ADB objetivo (si es necesario):

adb mdns services

Ejecutar el PoC:

python3 poc-cve-2026-0073.py <target_ip> [port] [command] [key_type] [--verbose]

Argumentos:

• target_ip: Dirección IP del dispositivo Android objetivo
• port: Puerto ADB (predeterminado: 5555)
• command: Comando a ejecutar (predeterminado: id)
• key_type: ec o ed25519 (predeterminado: ec)
• --verbose: Habilita registros de depuración del protocolo

Ejemplos:

python3 poc-cve-2026-0073.py 192.168.1.100 5555 id
python3 poc-cve-2026-0073.py 192.168.1.100 5555 whoami ec --verbose
python3 poc-cve-2026-0073.py 192.168.1.100 5555 getprop ed25519

Salida exitosa típica

[*] Opening service: 'shell:id'
[*] After OPEN, received: OKAY  arg0=2  data=b''
[+] Stream open (local_id=1, remote_id=2)

[+] Command output:
----------------------------------------
uid=2000(shell) gid=2000(shell) ...
----------------------------------------

[+] Exploitation successful.

Solución de problemas

• Connection refused

  • El ADB inalámbrico puede estar deshabilitado.
  • Dirección IP/puerto objetivo incorrectos.

• certificate_unknown

  • El dispositivo probablemente tenga el parche para este problema.
  • O el objetivo no tiene un estado de clave de confianza elegible para esta ruta de autenticación.

• Tiempo de espera agotado al esperar respuestas

  • Confirme la ruta de red y la disponibilidad del socket ADB del objetivo.
  • Reintente con --verbose para obtener trazas a nivel de paquetes.

Notas sobre comprobaciones del nivel de parche

El nivel de parche de seguridad base del sistema operativo y el parcheo de módulos Mainline pueden diferir. Un dispositivo puede mostrar un SPL mensual más antiguo mientras recibe correcciones más recientes del módulo ADB.

Comprobaciones útiles:

adb shell getprop ro.build.version.security_patch
adb shell pm list packages --apex-only | grep adbd
adb shell dumpsys package com.google.android.adbd | grep -E "versionCode|versionName|lastUpdateTime"

Uso responsable

Utilice este PoC únicamente en entornos autorizados (dispositivos de laboratorio propios, permiso explícito o pruebas sancionadas). No lo ejecute contra sistemas que no posea o para los que no tenga autorización escrita para probar.

Referencias

• Boletín de seguridad de Android (mayo de 2026)
• Entrada NVD para CVE-2026-0073
• Fuentes de ADB de AOSP (daemon/auth.cpp)