CVE-2026-0073 — Android ADBD TLS 인증 우회

`EVP_PKEY_cmp()` 타입 혼동 → 인증되지 않은 ADB 셸

🔥 개요

Android ADB 데몬(adbd)의 치명적인 인증 우회 취약점으로, 로컬 네트워크의 모든 공격자가 사용자 승인 없이 대상 기기에서 전체 셸을 획득할 수 있습니다.

이 취약점은 daemon/auth.cpp의 adbd_tls_verify_cert()에 존재하며, EVP_PKEY_cmp()가 부울 값으로 사용됩니다. 저장된 키가 RSA이고 제시된 TLS 클라이언트 인증서가 비-RSA 키(EC P-256 또는 Ed25519)를 보유한 경우, EVP_PKEY_cmp()는 -1(타입 불일치)을 반환하며, 이는 C/C++에서 **참(true)**으로 평가되므로 authorized = true가 됩니다.

// daemon/auth.cpp의 취약한 코드 패턴
if (EVP_PKEY_cmp(peer_key, stored_key)) {  // ← 버그: -1은 참(true)!
    authorized = true;
}

⚡ 빠른 시작

의존성 설치

pip install cryptography

익스플로잇 실행

# 대화형 셸
python adb_tls_auth_bypass.py <TARGET_IP> <PORT>

# 단일 명령 실행
python adb_tls_auth_bypass.py 192.168.1.42 37521 --cmd "id"

# 상세 모드 (전체 프로토콜 추적 확인)
python adb_tls_auth_bypass.py 192.168.1.42 37521 -v --cmd "id"

특정 키 유형 강제 지정

python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ec
python adb_tls_auth_bypass.py 192.168.1.42 5555 --key-type ed25519

기본적으로 스크립트는 EC P-256 → Ed25519 → EC/TLS 1.2 순서로 자동 시도하여 성공할 때까지 진행합니다.

🎯 익스플로잇 흐름

   공격자                          대상 (adbd)
      │                                    │
      │──── TCP 연결 ────────────────────►│
      │──── CNXN (평문) ────────────────►│
      │◄─── STLS (TLS 업그레이드 요청) ──│
      │──── STLS 응답 ──────────────────►│
      │                                    │
      │════ TLS 1.3 핸드셰이크 ═══════════│
      │  (EC P-256 클라이언트 인증서 제시)  │
      │  EVP_PKEY_cmp(EC, RSA) → -1       │
      │  -1은 참 → authorized=true        │
      │════════════════════════════════════│
      │                                    │
      │◄─── CNXN (기기 정보) ────────────│
      │──── OPEN "shell:" ───────────────►│
      │◄─── OKAY ────────────────────────│
      │◄──► WRTE/OKAY (셸 I/O) ─────────►│
      │                                    │
    [전체 셸 액세스]                        │

📋 사전 요구 사항

요구 사항	세부 사항
개발자 옵션

⚠️ 중요: RSA 키는 /data/misc/adb/adb_keys에 있어야 하며, 이는 USB 디버깅 페어링("USB 디버깅 허용?" 대화상자 수락)을 통해 채워집니다. 무선 디버깅 페어링(adb pair)은 키를 다른 위치(adb_known_hosts.pb)에 저장하므로 이 요구 사항을 충족하지 않습니다.

🛡️ 영향받는 버전

Android 14 (AOSP) — ✅ 취약점 확인됨
Android 15 (AOSP) — 취약할 가능성 높음 (패치되지 않은 빌드)
공급업체별 빌드는 다를 수 있음 (Samsung One UI, Pixel 등)

패치 수준 확인 방법

adb shell getprop ro.build.version.security_patch

🧪 테스트 환경

다음 환경에서 테스트 및 작동 확인됨:

Kernel:   6.1.23-android14-4-00257-g7e35917775b8-ab9964412
Platform: Android 14 (Android Studio Emulator)

🔧 원본 대비 개선 사항

이 포크에는 여러 가지 개선 사항이 포함되어 있습니다:

✅ 다중 키 폴백 — EC P-256 → Ed25519 → EC/TLS 1.2 자동 시도
✅ Ed25519 지원 — 더 넓은 호환성을 위한 대체 키 유형
✅ TLS 1.2 폴백 — 다른 클라이언트 인증서 흐름 (핸드셰이크 중 vs 핸드셰이크 후 전송)
✅ 향상된 인증서 — 적절한 X.509 확장 (BasicConstraints, KeyUsage)
✅ Windows 호환 — 크로스 플랫폼 지원을 위해 select() 대신 스레드 I/O 사용
✅ 증가된 타임아웃 — 느린 네트워크에서 더 나은 안정성
✅ 상세 진단 — -v 플래그로 상세 프로토콜 추적

📁 프로젝트 구조

CVE-2026-0073-Android-ADBD-bypass-POC/
├── adb_tls_auth_bypass.py    # 메인 익스플로잇 스크립트
└── README.md                 # 이 파일

⚠️ 면책 조항

이 도구는 승인된 보안 테스트 및 교육 목적으로만 제공됩니다. 컴퓨터 시스템에 대한 무단 액세스는 불법입니다. 테스트 전에 항상 적절한 승인을 받으십시오. 저자는 이 소프트웨어의 오용에 대해 어떠한 책임도 지지 않습니다.

📚 참고 자료

이 도구가 연구에 도움이 되었다면 ⭐을 눌러주세요

`1`	키 일치	✅	승인됨 (정상)
`0`	키 불일치	❌	거부됨 (정상)
`-1`	타입 불일치	✅	승인됨 (버그)

CVE-2026-0073-Android-ADBD-bypass-POC

인기