🔓 CVE-2026-0073: Android adbd प्रमाणीकरण बाईपास

वायरलेस ADB TLS प्रमाणीकरण बाईपास भेद्यता के लिए शस्त्रीकृत प्रूफ ऑफ कॉन्सेप्ट। Barghest द्वारा खोजा गया, devtint द्वारा शस्त्रीकृत PoC।

📋 अवलोकन

CVE-2026-0073 एंड्रॉइड डिबग ब्रिज डेमॉन (adbd) में एक गंभीर क्रिप्टोग्राफिक लॉजिक विफलता है जो उसी स्थानीय नेटवर्क पर एक अनप्रमाणित हमलावर को ज़ीरो-क्लिक रिमोट रूट एक्सेस प्रदान करती है।

इस रिपॉजिटरी में शामिल है:

• adb_tls_auth_bypass.py — STLS/TLS प्रमाणीकरण बाईपास के लिए स्वच्छ, स्टैंडअलोन PoC।
• main.py — स्वचालित प्रोफाइलिंग, आर्टिफैक्ट निष्कर्षण और पर्सिस्टेंस इंजेक्शन के साथ अधिकतम शोषण फ्रेमवर्क।

क्रिप्टोग्राफिक दोष

यह भेद्यता daemon/auth.cpp के अंदर adbd_tls_verify_cert() फ़ंक्शन में मौजूद है। जब कोई क्लाइंट वायरलेस ADB (STLS पथ) के माध्यम से कनेक्ट होता है, तो एक पारस्परिक TLS 1.3 हैंडशेक होता है। डिवाइस OpenSSL के EVP_PKEY_cmp() का उपयोग करके क्लाइंट की सार्वजनिक कुंजी की तुलना संग्रहीत अधिकृत कुंजियों से करता है।

// daemon/auth.cpp — भेद्य लॉजिक
if (EVP_PKEY_cmp(stored_key, client_key)) {
    // EVP_PKEY_cmp रिटर्न करता है:
    //   1  = कुंजियाँ मेल खाती हैं
    //   0  = कुंजियाँ भिन्न हैं
    //  -1  = प्रकार बेमेल (RSA बनाम EC)  ← बग: C++ में सत्य
    authorized = true;
}

• यदि संग्रहीत कुंजी RSA है और क्लाइंट एक EC P-256 कुंजी प्रस्तुत करता है, तो EVP_PKEY_cmp() -1 (प्रकार बेमेल) लौटाता है।
• C/C++ में, -1 का मूल्यांकन true के रूप में होता है।
• adbd लॉजिक इस -1 को पूर्ण मेल के रूप में व्याख्या करता है।
• डिवाइस चुपचाप स्क्रीन जगाए बिना या पीड़ित को संकेत दिए बिना रूट शेल प्रदान करता है।

⚠️ महत्वपूर्ण: STLS बनाम AUTH — पोर्ट आवश्यकताएँ

यह शोषण केवल वायरलेस डिबगिंग STLS पथ पर काम करता है, लीगेसी adb tcpip पथ पर नहीं।

सही पोर्ट की पहचान कैसे करें

1. लक्ष्य डिवाइस पर: सेटिंग्स → डेवलपर विकल्प → वायरलेस डिबगिंग → चालू करें
2. IP पता और यादृच्छिक पोर्ट उस स्क्रीन पर प्रदर्शित होते हैं (जैसे, 192.168.1.34:38741)
3. यह पोर्ट हर बार वायरलेस डिबगिंग टॉगल करने या डिवाइस के Wi-Fi से पुनः कनेक्ट होने पर बदलता है

त्रुटि: "डिवाइस ने STLS के बजाय AUTH के साथ प्रतिक्रिया दी"

इसका मतलब है कि आप एक लीगेसी ADB TCP पोर्ट (आमतौर पर 5555) से कनेक्ट कर रहे हैं। लीगेसी पथ पुराने RSA AUTH हैंडशेक का उपयोग करता है — adbd में एक पूरी तरह से अलग कोड पथ जो इस CVE से प्रभावित नहीं है। आपको इसके बजाय वायरलेस डिबगिंग पोर्ट से कनेक्ट करना होगा।

⚡ अधिकतम क्षमताएँ

फ्रेमवर्क (main.py) कोर TLS बाईपास को एक मॉड्यूलर पोस्ट-एक्सप्लॉइटेशन टूलकिट में विस्तारित करता है:

• 💻 इंटरैक्टिव शेल: सीधे एक स्थिर, स्थायी uid=0(root) स्यूडो-टर्मिनल में प्रवेश करता है।
• 🔍 स्वचालित प्रोफाइलिंग (--profile): आंतरिक नेटवर्क पिवोटिंग के लिए लक्ष्य OS, सुरक्षा पैच स्तर, SELinux प्रवर्तन और सक्रिय रूटिंग टेबल की तुरंत पहचान करता है।
• 📂 आर्टिफैक्ट निष्कर्षण (--extract): अत्यधिक संवेदनशील सिस्टम फ़ाइलों (जैसे, /data/misc/adb/adb_keys, /system/build.prop) को सीधे बाईपास सॉकेट पर स्वचालित रूप से बाहर निकालता है।
• 🔑 स्टील्थ पर्सिस्टेंस (--persist): लक्ष्य की अधिकृत कुंजी फ़ाइल में एक दुष्ट RSA सार्वजनिक कुंजी इंजेक्ट करता है। इंजेक्शन के बाद, हमलावर के पास स्थायी, पूर्ण रूप से प्रमाणित पहुंच बनी रहती है, भले ही CVE को बाद में पैच किया जाए।

🏃 उपयोग

1. निर्भरताएँ स्थापित करें:

   root@kitploit:~

   pip install cryptography
   

2. लक्ष्य खोजें: अपने स्थानीय सबनेट पर वायरलेस डिबगिंग सक्षम वाला एक एंड्रॉइड डिवाइस खोजें। डिवाइस के डेवलपर विकल्प स्क्रीन से डायनामिक पोर्ट नोट करें।

3. शोषण फ्रेमवर्क निष्पादित करें:

   root@kitploit:~

   # इंटरैक्टिव शेल (डिफ़ॉल्ट)
   python main.py <IP> <PORT>
   
   # एकल कमांड निष्पादन
   python main.py <IP> <PORT> --cmd "id"
   
   # स्वचालित सिस्टम प्रोफाइलिंग
   python main.py <IP> <PORT> --profile
   
   # स्टील्थ आर्टिफैक्ट निष्कर्षण
   python main.py <IP> <PORT> --extract
   
   # स्थायी बैकडोर कुंजी इंजेक्ट करें
   python main.py <IP> <PORT> --persist
   

4. स्टैंडअलोन PoC (न्यूनतम):

   root@kitploit:~

   python adb_tls_auth_bypass.py <IP> <PORT> --cmd "id; whoami"
   

🔧 समस्या निवारण

🛡️ शमन

• पैच: मई 2026 एंड्रॉइड सुरक्षा बुलेटिन (2026-05-01 या बाद का) में अपडेट करें।
• सेवा अक्षम करें: किसी एप्लिकेशन का सक्रिय रूप से प्रोफाइलिंग न करते समय वायरलेस डिबगिंग बंद रखें।
• कुंजी रोटेशन: डिवाइस कीस्टोर से लीगेसी RSA कुंजियों को हटाने के लिए डेवलपर विकल्पों में समय-समय पर "USB डिबगिंग प्राधिकरण रद्द करें" करें।

⚖️ कानूनी अस्वीकरण

यह रिपॉजिटरी केवल शैक्षिक, रेड टीमिंग और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए है। कंप्यूटर सिस्टम तक अनधिकृत पहुंच अवैध है। लेखक इस जानकारी के दुरुपयोग के लिए कोई दायित्व नहीं मानता है।