CVE-2026-0073 PoC (Bypass dell'autenticazione TLS di ADB wireless)

Questa directory contiene una prova di concetto in Python per CVE-2026-0073.

Lo script è generato utilizzando tecniche di generazione di codice assistite da AI.

Riepilogo

CVE-2026-0073 è un problema logico nella verifica dei certificati del demone ADB (adbd_tls_verify_cert in auth.cpp). Il controllo vulnerabile considera qualsiasi valore di ritorno non zero da EVP_PKEY_cmp(...) come una corrispondenza riuscita.

La gestione prevista del risultato del confronto dovrebbe essere:

• 1 = chiavi corrispondono
• 0 = chiavi non corrispondono
• valori negativi = errore / confronto non supportato

Nelle build vulnerabili, i valori negativi sono considerati veri e possono contrassegnare erroneamente un certificato come autorizzato.

Cosa fa poc-cve-2026-0073.py

Lo script:

1. Crea un certificato client non RSA (ec o ed25519).
2. Si connette al servizio ADB TCP di destinazione.
3. Esegue il flusso di handshake CNXN -> STLS -> TLS.
4. Autentica tramite il percorso di confronto dei certificati vulnerabile.
5. Apre un servizio di comando (shell: con fallback exec:).
6. Stampa l'output del comando.

Requisiti

• Python 3.10+ (consigliato)
• Pacchetto cryptography
• ADB wireless abilitato sul target
• Raggiungibilità di rete della porta ADB target
• Autorizzazione di test per il dispositivo target

Installa le dipendenze:

pip install cryptography

Utilizzo

Scopri il servizio ADB target (se necessario):

adb mdns services

Esegui il PoC:

python3 poc-cve-2026-0073.py <target_ip> [port] [command] [key_type] [--verbose]

Argomenti:

• target_ip: Indirizzo IP del dispositivo Android target
• port: Porta ADB (default: 5555)
• command: Comando da eseguire (default: id)
• key_type: ec o ed25519 (default: ec)
• --verbose: Abilita i log di debug del protocollo

Esempi:

python3 poc-cve-2026-0073.py 192.168.1.100 5555 id
python3 poc-cve-2026-0073.py 192.168.1.100 5555 whoami ec --verbose
python3 poc-cve-2026-0073.py 192.168.1.100 5555 getprop ed25519

Output tipico di successo

[*] Opening service: 'shell:id'
[*] After OPEN, received: OKAY  arg0=2  data=b''
[+] Stream open (local_id=1, remote_id=2)

[+] Command output:
----------------------------------------
uid=2000(shell) gid=2000(shell) ...
----------------------------------------

[+] Exploitation successful.

Risoluzione dei problemi

• Connection refused

  • ADB wireless potrebbe essere disabilitato.
  • IP/porta target errati.

• certificate_unknown

  • Dispositivo probabilmente aggiornato per questo problema.
  • O il target non ha uno stato di chiave affidabile idoneo per questo percorso di autenticazione.

• Timeout in attesa di risposte

  • Conferma il percorso di rete e la disponibilità del socket ADB target.
  • Riprova con --verbose per tracce a livello di pacchetto.

Note sui controlli del livello di patch

Il livello di patch di sicurezza del sistema operativo di base e la patch del modulo Mainline possono differire. Un dispositivo può mostrare un SPL mensile più vecchio mentre riceve correzioni più recenti del modulo ADB.

Controlli utili:

adb shell getprop ro.build.version.security_patch
adb shell pm list packages --apex-only | grep adbd
adb shell dumpsys package com.google.android.adbd | grep -E "versionCode|versionName|lastUpdateTime"

Uso responsabile

Usa questo PoC solo in ambienti autorizzati (dispositivi di laboratorio di proprietà, permesso esplicito o test autorizzati). Non eseguire questo contro sistemi che non possiedi o per i quali non hai autorizzazione scritta per testare.

Riferimenti

• Android Security Bulletin (Maggio 2026)
• Voce NVD per CVE-2026-0073
• Sorgenti ADB AOSP (daemon/auth.cpp)