CVE-2026-0073 PoC (Contournement de l'authentification TLS ADB sans fil)

Ce répertoire contient une preuve de concept Python pour CVE-2026-0073.

Le script est généré à l'aide de techniques de génération de code assistée par IA.

Résumé

CVE-2026-0073 est un problème logique dans la vérification des certificats du démon ADB (adbd_tls_verify_cert dans auth.cpp). Le contrôle vulnérable traite toute valeur non nulle retournée par EVP_PKEY_cmp(...) comme une correspondance réussie.

La gestion attendue du résultat de comparaison devrait être :

• 1 = les clés correspondent
• 0 = les clés ne correspondent pas
• valeurs négatives = erreur / comparaison non prise en charge

Dans les versions vulnérables, les valeurs négatives sont considérées comme vraies et peuvent marquer incorrectement un certificat comme autorisé.

Ce que fait poc-cve-2026-0073.py

Le script :

1. Crée un certificat client non-RSA (ec ou ed25519).
2. Se connecte au service ADB TCP cible.
3. Effectue le flux de poignée de main CNXN -> STLS -> TLS.
4. S'authentifie via le chemin de comparaison de certificats vulnérable.
5. Ouvre un service de commandes (shell: avec repli exec:).
6. Affiche la sortie de la commande.

Prérequis

• Python 3.10+ (recommandé)
• Paquet cryptography
• ADB sans fil activé sur la cible
• Accessibilité réseau au port ADB cible
• Autorisation de test pour l'appareil cible

Installer la dépendance :

pip install cryptography

Utilisation

Découvrir le service ADB cible (si nécessaire) :

adb mdns services

Exécuter le PoC :

python3 poc-cve-2026-0073.py <target_ip> [port] [command] [key_type] [--verbose]

Arguments :

• target_ip : Adresse IP de l'appareil Android cible
• port : Port ADB (par défaut : 5555)
• command : Commande à exécuter (par défaut : id)
• key_type : ec ou ed25519 (par défaut : ec)
• --verbose : Activer les logs de débogage du protocole

Exemples :

python3 poc-cve-2026-0073.py 192.168.1.100 5555 id
python3 poc-cve-2026-0073.py 192.168.1.100 5555 whoami ec --verbose
python3 poc-cve-2026-0073.py 192.168.1.100 5555 getprop ed25519

Sortie typique réussie

[*] Opening service: 'shell:id'
[*] After OPEN, received: OKAY  arg0=2  data=b''
[+] Stream open (local_id=1, remote_id=2)

[+] Command output:
----------------------------------------
uid=2000(shell) gid=2000(shell) ...
----------------------------------------

[+] Exploitation successful.

Dépannage

• Connection refused

  • L'ADB sans fil peut être désactivé.
  • Mauvais IP/port cible.

• certificate_unknown

  • L'appareil est probablement corrigé pour ce problème.
  • Ou la cible n'a pas d'état de clé de confiance éligible pour ce chemin d'authentification.

• Délai d'attente pour les réponses

  • Confirmer le chemin réseau et la disponibilité du socket ADB cible.
  • Réessayer avec --verbose pour les traces au niveau des paquets.

Remarques sur les vérifications du niveau de correctif

Le niveau de correctif de sécurité de base du système d'exploitation et l'application de correctifs des modules Mainline peuvent différer. Un appareil peut afficher un SPL mensuel plus ancien tout en recevant des correctifs plus récents du module ADB.

Vérifications utiles :

adb shell getprop ro.build.version.security_patch
adb shell pm list packages --apex-only | grep adbd
adb shell dumpsys package com.google.android.adbd | grep -E "versionCode|versionName|lastUpdateTime"

Utilisation responsable

Utilisez ce PoC uniquement dans des environnements autorisés (appareils de laboratoire personnels, autorisation explicite ou tests approuvés). N'exécutez pas ceci contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite de tester.

Références

• Bulletin de sécurité Android (mai 2026)
• Entrée NVD pour CVE-2026-0073
• Sources ADB AOSP (daemon/auth.cpp)