🔥 Resumen

Un bypass de autenticación crítico en el daemon ADB de Android (adbd) permite que cualquier atacante en la red local obtenga una shell completa en un dispositivo objetivo sin autorización del usuario.

La vulnerabilidad existe en adbd_tls_verify_cert() dentro de daemon/auth.cpp, donde EVP_PKEY_cmp() se usa como booleano. Cuando la clave almacenada es RSA y el certificado de cliente TLS presentado lleva una clave no RSA (EC P-256 o Ed25519), EVP_PKEY_cmp() devuelve -1 (desajuste de tipo), que es verdadero en C/C++, por lo que authorized = true.

// Patrón de código vulnerable en daemon/auth.cpp
if (EVP_PKEY_cmp(peer_key, stored_key)) {  // ← ERROR: ¡-1 es verdadero!
    authorized = true;
}

⚡ Inicio rápido

Instalar dependencias

pip install cryptography

Ejecutar el exploit

# Shell interactiva
python adb_tls_auth_bypass.py <IP_OBJETIVO> <PUERTO>

# Ejecución de un solo comando
python adb_tls_auth_bypass.py 192.168.1.42 37521 --cmd "id"

# Modo verboso (ver el rastro completo del protocolo)
python adb_tls_auth_bypass.py 192.168.1.42 37521 -v --cmd "id"

Forzar un tipo de clave específico

python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ec
python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ed25519

De forma predeterminada, el script prueba automáticamente EC P-256 → Ed25519 → EC/TLS 1.2 hasta que uno tenga éxito.

🎯 Flujo del exploit

   Atacante                          Objetivo (adbd)
      │                                    │
      │──── Conexión TCP ─────────────────►│
      │──── CNXN (texto claro) ───────────►│
      │◄─── STLS (solicitud de actualización TLS) ──│
      │──── Respuesta STLS ───────────────►│
      │                                    │
      │════ Handshake TLS 1.3 ════════════│
      │  (certificado de cliente EC P-256 presentado)  │
      │  EVP_PKEY_cmp(EC, RSA) → -1       │
      │  -1 es verdadero → authorized=true │
      │════════════════════════════════════│
      │                                    │
      │◄─── CNXN (información del dispositivo) ──────────│
      │──── OPEN "shell:" ───────────────►│
      │◄─── OKAY ────────────────────────│
      │◄──► WRTE/OKAY (E/S de shell) ────►│
      │                                    │
    [ACCESO COMPLETO A LA SHELL]           │

📋 Requisitos previos

⚠️ Importante: La clave RSA debe estar en /data/misc/adb/adb_keys, que se completa mediante el emparejamiento de depuración USB (aceptando el diálogo "¿Permitir depuración USB?"). El emparejamiento de depuración inalámbrica (adb pair) almacena las claves en una ubicación diferente (adb_known_hosts.pb) y NO cumple este requisito.

🛡️ Versiones afectadas

• Android 14 (AOSP) — ✅ Confirmado vulnerable
• Android 15 (AOSP) — Probablemente vulnerable (compilaciones sin parchear)
• Las compilaciones específicas del proveedor pueden variar (Samsung One UI, Pixel, etc.)

Cómo comprobar el nivel de parche

adb shell getprop ro.build.version.security_patch

🧪 Entorno de pruebas

Probado y confirmado funcionando en:

Kernel:   6.1.23-android14-4-00257-g7e35917775b8-ab9964412
Plataforma: Android 14 (Emulador de Android Studio)

🔧 Mejoras sobre el original

Este fork incluye varias mejoras:

• ✅ Respaldo de múltiples claves — Prueba automáticamente EC P-256 → Ed25519 → EC/TLS 1.2
• ✅ Soporte Ed25519 — Tipo de clave alternativo para mayor compatibilidad
• ✅ Respaldo TLS 1.2 — Flujo de certificado de cliente diferente (enviado durante el handshake vs. después del handshake)
• ✅ Certificado mejorado — Extensiones X.509 adecuadas (BasicConstraints, KeyUsage)
• ✅ Compatible con Windows — Usa E/S con hilos en lugar de select() para soporte multiplataforma
• ✅ Tiempos de espera aumentados — Mejor fiabilidad en redes más lentas
• ✅ Diagnósticos verbosos — Rastro detallado del protocolo con la bandera -v

📁 Estructura del proyecto

CVE-2026-0073-Android-ADBD-bypass-POC/
├── adb_tls_auth_bypass.py    # Script principal del exploit
└── README.md                 # Este archivo

⚠️ Aviso legal

Esta herramienta se proporciona únicamente para pruebas de seguridad autorizadas y fines educativos. El acceso no autorizado a sistemas informáticos es ilegal. Obtenga siempre la autorización adecuada antes de realizar pruebas. El autor no asume ninguna responsabilidad por el mal uso de este software.

📚 Referencias

• CVE-2026-0073 — MITRE
• Boletín de seguridad de Android
• Documentación de OpenSSL EVP_PKEY_cmp
• Referencia del protocolo ADB