CVE-2026-78745 — Android Debug Bridge (ADB) を介したリモートコード実行

CVE-2026-78745 は、Hi3751V350 および Hi3751V352E_DMO プラットフォームを使用する HiDPT / Weyon HiDPTAndroid デバイスに影響を与えます。この脆弱性により、リモートの攻撃者が Android Debug Bridge（adbd）デーモンを介して任意のコードを実行できる可能性があります。

概要

独立したセキュリティ調査中に、HiDPT / Weyon HiDPTAndroid デバイスの Android Debug Bridge（ADB）サービスに影響を与える脆弱性を特定しました。

ADB サービスはリモートから公開されており、特権管理インターフェースに期待されるレベルの制限なしにアクセスできました。テスト中、結果として得られた ADB セッションはルートレベルの権限で実行されていることが判明しました。

この脆弱性はベンダーに報告され、その後 CVE 採番のために MITRE に提出されました。CVE-2026-78745 が採番され、CVE 採番後に公開開示されました。

影響を受ける製品

影響を受けるコンポーネント: Android Debug Bridge デーモン（adbd）

技術的詳細

この脆弱性は、影響を受けるデバイスにおける Android Debug Bridge サービスのリモート公開に関連しています。

ADB は、開発、デバッグ、およびデバイス管理に一般的に使用される強力な Android インターフェースです。基盤となるシステムへの特権アクセスを提供するため、通常は不正なリモートアクセスから保護される必要があります。

テスト中、ADB サービスはリモートから到達可能であり、影響を受けるデバイス上で ADB セッションが確立されました。その後、セッションが動作していた権限レベルを確認しました。

確認結果は次のとおりです:

root

これにより、ADB セッションがルートレベルの権限で実行されていることが確認されました。

リモートからアクセス可能な ADB とルートレベルの実行の組み合わせにより、影響を受けるデバイス上で任意のコードを実行する経路が生じます。

影響

公開された ADB サービスに到達できる攻撃者は、影響を受けるデバイス上で任意のコードを実行できる可能性があります。

ADB セッションはルートレベルの権限で動作するため、悪用に成功すると、基盤となる Android 環境への広範なアクセスが提供される可能性があります。実際の影響は、デバイスの構成、有効化されているサービス、およびデプロイされているネットワークによって異なります。

発見と報告

私は 2026年5月26日 の独立したセキュリティ調査中にこの脆弱性を発見しました。

この脆弱性は同日に影響を受けるベンダーに報告されました。報告後、ベンダーからの応答や確認は受信されませんでした。

2026年6月8日 に、CVE 採番のためにこの脆弱性を MITRE に提出しました。

MITRE はその後、2026年9月2日 に CVE-2026-78745 を採番しました。

ベンダーの対応

影響を受けるベンダーには 2026年5月26日 に通知されました。

公開開示時点で、ベンダーからの応答や確認は受信されていませんでした。

開示のタイムライン

緩和策

ベンダー提供の修正プログラムまたは更新されたファームウェアが利用可能になるまで、影響を受けるデバイスのユーザーは以下の対策を検討する必要があります:

• ADB サービスへのアクセスを信頼できるシステムとネットワークに制限する。
• 不要な場合は ADB を無効にする。
• ADB を信頼できないネットワークや公開ネットワークに公開しない。
• ネットワークセグメンテーションを使用して、影響を受けるデバイスを信頼できないシステムから分離する。
• 利用可能になったら、ベンダー提供のファームウェアとセキュリティ更新を適用する。

セキュリティに関する考慮事項

ADB は強力な管理機能を提供するため、機密性の高いサービスとして扱う必要があります。

影響を受けるデバイスを展開している組織は、ネットワーク構成を確認し、ADB が意図しないネットワークセグメントからアクセス可能かどうかを判断する必要があります。ADB が必要な場合は、アクセスを許可されたシステムと信頼できるネットワークに制限する必要があります。

CVE 情報

参考情報

• CVE-2026-78745
• MITRE CVE Program

研究者

n0c71v3x