🔥 Vue d'ensemble

Un contournement d'authentification critique dans le démon ADB d'Android (adbd) permet à tout attaquant sur le réseau local d'obtenir un shell complet sur un appareil cible sans autorisation de l'utilisateur.

La vulnérabilité existe dans adbd_tls_verify_cert() au sein de daemon/auth.cpp, où EVP_PKEY_cmp() est utilisé comme un booléen. Lorsque la clé stockée est RSA et que le certificat client TLS présenté porte une clé non-RSA (EC P-256 ou Ed25519), EVP_PKEY_cmp() renvoie -1 (incompatibilité de type), ce qui est vrai en C/C++, donc authorized = true.

// Modèle de code vulnérable dans daemon/auth.cpp
if (EVP_PKEY_cmp(peer_key, stored_key)) {  // ← BUG : -1 est vrai !
    authorized = true;
}

⚡ Démarrage rapide

Installer les dépendances

pip install cryptography

Exécuter l'exploit

# Shell interactif
python adb_tls_auth_bypass.py <IP_CIBLE> <PORT>

# Exécution d'une commande unique
python adb_tls_auth_bypass.py 192.168.1.42 37521 --cmd "id"

# Mode verbeux (voir la trace complète du protocole)
python adb_tls_auth_bypass.py 192.168.1.42 37521 -v --cmd "id"

Forcer un type de clé spécifique

python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ec
python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ed25519

Par défaut, le script essaie automatiquement EC P-256 → Ed25519 → EC/TLS 1.2 jusqu'à ce que l'un réussisse.

🎯 Déroulement de l'exploit

   Attaquant                          Cible (adbd)
      │                                    │
      │──── Connexion TCP ────────────────►│
      │──── CNXN (texte clair) ───────────►│
      │◄─── STLS (demande de mise à niveau TLS) ──│
      │──── Réponse STLS ─────────────────►│
      │                                    │
      │════ Poignée de main TLS 1.3 ══════│
      │  (certificat client EC P-256 présenté)  │
      │  EVP_PKEY_cmp(EC, RSA) → -1       │
      │  -1 est vrai → authorized=true    │
      │════════════════════════════════════│
      │                                    │
      │◄─── CNXN (informations de l'appareil) ──│
      │──── OPEN "shell:" ───────────────►│
      │◄─── OKAY ────────────────────────│
      │◄──► WRTE/OKAY (E/S du shell) ────►│
      │                                    │
    [ACCÈS SHELL COMPLET]                  │

📋 Prérequis

⚠️ Important : La clé RSA doit se trouver dans /data/misc/adb/adb_keys, qui est rempli via l'appairage de débogage USB (acceptation de la boîte de dialogue « Autoriser le débogage USB ? »). L'appairage de débogage sans fil (adb pair) stocke les clés dans un emplacement différent (adb_known_hosts.pb) et ne satisfait PAS cette exigence.

🛡️ Versions concernées

• Android 14 (AOSP) — ✅ Vulnérable confirmé
• Android 15 (AOSP) — Probablement vulnérable (builds non corrigés)
• Les builds spécifiques aux fabricants peuvent varier (Samsung One UI, Pixel, etc.)

Comment vérifier le niveau de correctif

adb shell getprop ro.build.version.security_patch

🧪 Environnement de test

Testé et confirmé fonctionnel sur :

Kernel:   6.1.23-android14-4-00257-g7e35917775b8-ab9964412
Plateforme : Android 14 (Émulateur Android Studio)

🔧 Améliorations par rapport à l'original

Ce fork inclut plusieurs améliorations :

• ✅ Repli multi-clés — Essaie automatiquement EC P-256 → Ed25519 → EC/TLS 1.2
• ✅ Prise en charge d'Ed25519 — Type de clé alternatif pour une compatibilité élargie
• ✅ Repli TLS 1.2 — Flux de certificat client différent (envoyé pendant la poignée de main vs après la poignée de main)
• ✅ Certificat amélioré — Extensions X.509 correctes (BasicConstraints, KeyUsage)
• ✅ Compatible Windows — Utilise des E/S par threads au lieu de select() pour la prise en charge multiplateforme
• ✅ Délais d'attente augmentés — Meilleure fiabilité sur les réseaux plus lents
• ✅ Diagnostics verbeux — Trace détaillée du protocole avec l'option -v

📁 Structure du projet

CVE-2026-0073-Android-ADBD-bypass-POC/
├── adb_tls_auth_bypass.py    # Script d'exploit principal
└── README.md                 # Ce fichier

⚠️ Avertissement

Cet outil est fourni à des fins de tests de sécurité autorisés et éducatives uniquement. L'accès non autorisé à des systèmes informatiques est illégal. Obtenez toujours une autorisation appropriée avant de tester. L'auteur décline toute responsabilité en cas d'utilisation abusive de ce logiciel.

📚 Références

• CVE-2026-0073 — MITRE
• Bulletin de sécurité Android
• Documentation OpenSSL EVP_PKEY_cmp
• Référence du protocole ADB