PoC de CVE-2026-0073 (Omisión de Autenticación TLS de ADB Inalámbrico)

Este directorio contiene un proof of concept en Python para CVE-2026-0073.

El script se genera mediante técnicas de generación de código asistidas por IA.

Resumen

CVE-2026-0073 es un problema de lógica en la verificación de certificados del demonio ADB (adbd_tls_verify_cert en auth.cpp). La comprobación vulnerable trata cualquier valor distinto de cero devuelto por EVP_PKEY_cmp(...) como una coincidencia exitosa.

El manejo esperado del resultado de la comparación debería ser:

• 1 = las claves coinciden
• 0 = las claves no coinciden
• valores negativos = error / comparación no soportada

En builds vulnerables, los valores negativos se tratan como verdadero y pueden marcar incorrectamente un certificado como autorizado.

Qué hace poc-cve-2026-0073.py

El script:

1. Crea un certificado de cliente que no es RSA (ec o ed25519).
2. Se conecta al servicio TCP ADB objetivo.
3. Realiza el flujo CNXN -> STLS -> handshake TLS.
4. Se autentica mediante la ruta de comparación de certificados vulnerable.
5. Abre un servicio de comandos (shell: con fallback exec:).
6. Imprime la salida del comando.

Requisitos

• Python 3.10+ (recomendado)
• Paquete cryptography
• ADB inalámbrico habilitado en el objetivo
• Accesibilidad de red al puerto ADB objetivo
• Autorización de prueba para el dispositivo objetivo

Instalar dependencia:

pip install cryptography

Uso

Descubrir servicio ADB objetivo (si es necesario):

adb mdns services

Ejecutar el PoC:

python3 poc-cve-2026-0073.py <target_ip> [port] [command] [key_type] [--verbose]

Argumentos:

• target_ip: Dirección IP del dispositivo Android objetivo
• port: Puerto ADB (por defecto: 5555)
• command: Comando a ejecutar (por defecto: id)
• key_type: ec o ed25519 (por defecto: ec)
• --verbose: Habilita registros de depuración del protocolo

Ejemplos:

python3 poc-cve-2026-0073.py 192.168.1.100 5555 id
python3 poc-cve-2026-0073.py 192.168.1.100 5555 whoami ec --verbose
python3 poc-cve-2026-0073.py 192.168.1.100 5555 getprop ed25519

Salida típica exitosa

[*] Abriendo servicio: 'shell:id'
[*] Después de OPEN, recibido: OKAY  arg0=2  data=b''
[+] Flujo abierto (local_id=1, remote_id=2)

[+] Salida del comando:
----------------------------------------
uid=2000(shell) gid=2000(shell) ...
----------------------------------------

[+] Explotación exitosa.

Solución de problemas

• Connection refused

  • ADB inalámbrico puede estar deshabilitado.
  • IP/puerto objetivo incorrecto.

• certificate_unknown

  • El dispositivo probablemente tiene el parche para este problema.
  • O el objetivo no tiene un estado de clave de confianza elegible para esta ruta de autenticación.

• Tiempo de espera agotado al esperar respuestas

  • Confirme la ruta de red y la disponibilidad del socket ADB objetivo.
  • Reintente con --verbose para trazas a nivel de paquete.

Notas sobre comprobaciones de nivel de parche

El nivel de parche de seguridad base del sistema operativo y el parcheo de módulos Mainline pueden diferir. Un dispositivo puede mostrar un SPL mensual más antiguo mientras recibe correcciones más nuevas del módulo ADB.

Comprobaciones útiles:

adb shell getprop ro.build.version.security_patch
adb shell pm list packages --apex-only | grep adbd
adb shell dumpsys package com.google.android.adbd | grep -E "versionCode|versionName|lastUpdateTime"

Uso responsable

Utilice este PoC únicamente en entornos autorizados (dispositivos de laboratorio propios, permiso explícito o pruebas sancionadas). No ejecute esto contra sistemas que no posea o para los que no tenga autorización por escrito para realizar pruebas.

Referencias

• Boletín de Seguridad de Android (Mayo 2026)
• Entrada NVD para CVE-2026-0073
• Fuentes de ADB de AOSP (daemon/auth.cpp)