PoC CVE-2026-0073 (Contournement de l'authentification TLS ADB sans fil)

Ce répertoire contient une preuve de concept en Python pour CVE-2026-0073.

Le script est généré à l'aide de techniques de génération de code assistées par IA.

Résumé

CVE-2026-0073 est un problème logique dans la vérification des certificats du démon ADB (adbd_tls_verify_cert dans auth.cpp). Le contrôle vulnérable traite toute valeur non nulle retournée par EVP_PKEY_cmp(...) comme une correspondance réussie.

La gestion attendue du résultat de comparaison devrait être :

• 1 = les clés correspondent
• 0 = les clés ne correspondent pas
• valeurs négatives = erreur / comparaison non prise en charge

Dans les versions vulnérables, les valeurs négatives sont traitées comme vraies et peuvent marquer incorrectement un certificat comme autorisé.

Ce que fait poc-cve-2026-0073.py

Le script :

1. Crée un certificat client non-RSA (ec ou ed25519).
2. Se connecte au service ADB TCP cible.
3. Effectue le flux de négociation CNXN -> STLS -> TLS.
4. S'authentifie via le chemin de comparaison de certificats vulnérable.
5. Ouvre un service de commande (shell: avec repli sur exec:).
6. Affiche la sortie de la commande.

Prérequis

• Python 3.10+ (recommandé)
• Paquet cryptography
• ADB sans fil activé sur la cible
• Accessibilité réseau au port ADB de la cible
• Autorisation de test pour l'appareil cible

Installer la dépendance :

pip install cryptography

Utilisation

Découvrir le service ADB cible (si nécessaire) :

adb mdns services

Exécuter le PoC :

python3 poc-cve-2026-0073.py <target_ip> [port] [command] [key_type] [--verbose]

Arguments :

• target_ip : Adresse IP de l'appareil Android cible
• port : Port ADB (par défaut : 5555)
• command : Commande à exécuter (par défaut : id)
• key_type : ec ou ed25519 (par défaut : ec)
• --verbose : Activer les journaux de débogage du protocole

Exemples :

python3 poc-cve-2026-0073.py 192.168.1.100 5555 id
python3 poc-cve-2026-0073.py 192.168.1.100 5555 whoami ec --verbose
python3 poc-cve-2026-0073.py 192.168.1.100 5555 getprop ed25519

Sortie typique en cas de succès

[*] Ouverture du service : 'shell:id'
[*] Après OPEN, reçu : OKAY  arg0=2  data=b''
[+] Flux ouvert (local_id=1, remote_id=2)

[+] Sortie de la commande :
----------------------------------------
uid=2000(shell) gid=2000(shell) ...
----------------------------------------

[+] Exploitation réussie.

Dépannage

• Connection refused

  • L'ADB sans fil est peut-être désactivé.
  • Mauvaise IP/port cible.

• certificate_unknown

  • L'appareil est probablement corrigé pour ce problème.
  • Ou la cible n'a aucun état de clé de confiance éligible pour ce chemin d'authentification.

• Délai d'attente dépassé pour les réponses

  • Vérifiez le chemin réseau et la disponibilité du socket ADB cible.
  • Réessayez avec --verbose pour des traces au niveau des paquets.

Remarques sur les vérifications du niveau de correctif

Le niveau de correctif de sécurité de base du système d'exploitation et le correctif des modules Mainline peuvent différer. Un appareil peut afficher un SPL mensuel plus ancien tout en recevant des correctifs plus récents du module ADB.

Vérifications utiles :

adb shell getprop ro.build.version.security_patch
adb shell pm list packages --apex-only | grep adbd
adb shell dumpsys package com.google.android.adbd | grep -E "versionCode|versionName|lastUpdateTime"

Utilisation responsable

Utilisez ce PoC uniquement dans des environnements autorisés (appareils de laboratoire possédés, autorisation explicite ou tests sanctionnés). Ne l'exécutez pas contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite de test.

Références

• Bulletin de sécurité Android (mai 2026)
• Entrée NVD pour CVE-2026-0073
• Sources ADB AOSP (daemon/auth.cpp)