CVE-2026-0073 PoC (Bypass de Autenticação TLS do ADB sem Fio)

Este diretório contém uma prova de conceito em Python para a CVE-2026-0073.

O script é gerado usando técnicas de geração de código assistidas por IA.

Resumo

A CVE-2026-0073 é um problema de lógica na verificação de certificados do daemon ADB (adbd_tls_verify_cert em auth.cpp). A verificação vulnerável trata qualquer retorno não nulo de EVP_PKEY_cmp(...) como uma correspondência bem-sucedida.

O tratamento esperado do resultado da comparação deve ser:

• 1 = chaves correspondem
• 0 = chaves não correspondem
• valores negativos = erro / comparação não suportada

Em builds vulneráveis, valores negativos são tratados como verdadeiros e podem marcar incorretamente um certificado como autorizado.

O que o poc-cve-2026-0073.py faz

O script:

1. Cria um certificado de cliente não-RSA (ec ou ed25519).
2. Conecta-se ao serviço TCP ADB de destino.
3. Executa o fluxo de handshake CNXN -> STLS -> TLS.
4. Autentica-se por meio do caminho de comparação de certificados vulnerável.
5. Abre um serviço de comando (shell: com fallback para exec:).
6. Exibe a saída do comando.

Requisitos

• Python 3.10+ (recomendado)
• Pacote cryptography
• ADB sem fio habilitado no dispositivo de destino
• Acessibilidade de rede à porta ADB de destino
• Autorização de teste para o dispositivo de destino

Instale a dependência:

pip install cryptography

Uso

Descubra o serviço ADB de destino (se necessário):

adb mdns services

Execute o PoC:

python3 poc-cve-2026-0073.py <target_ip> [port] [command] [key_type] [--verbose]

Argumentos:

• target_ip: Endereço IP do dispositivo Android de destino
• port: Porta ADB (padrão: 5555)
• command: Comando a ser executado (padrão: id)
• key_type: ec ou ed25519 (padrão: ec)
• --verbose: Ativa logs de depuração do protocolo

Exemplos:

python3 poc-cve-2026-0073.py 192.168.1.100 5555 id
python3 poc-cve-2026-0073.py 192.168.1.100 5555 whoami ec --verbose
python3 poc-cve-2026-0073.py 192.168.1.100 5555 getprop ed25519

Saída típica de sucesso

[*] Opening service: 'shell:id'
[*] After OPEN, received: OKAY  arg0=2  data=b''
[+] Stream open (local_id=1, remote_id=2)

[+] Command output:
----------------------------------------
uid=2000(shell) gid=2000(shell) ...
----------------------------------------

[+] Exploitation successful.

Solução de problemas

• Connection refused

  • O ADB sem fio pode estar desabilitado.
  • IP/porta de destino incorretos.

• certificate_unknown

  • O dispositivo provavelmente foi corrigido para este problema.
  • Ou o destino não possui um estado de chave confiável elegível para este caminho de autenticação.

• Tempo limite ao aguardar respostas

  • Confirme o caminho de rede e a disponibilidade do socket ADB de destino.
  • Repita com --verbose para rastreamentos em nível de pacote.

Notas sobre verificações de nível de patch

O nível de patch de segurança base do sistema operacional e o patch de módulos Mainline podem diferir. Um dispositivo pode exibir um SPL mensal mais antigo enquanto recebe correções mais recentes do módulo ADB.

Verificações úteis:

adb shell getprop ro.build.version.security_patch
adb shell pm list packages --apex-only | grep adbd
adb shell dumpsys package com.google.android.adbd | grep -E "versionCode|versionName|lastUpdateTime"

Uso responsável

Use este PoC apenas em ambientes autorizados (dispositivos de laboratório próprios, permissão explícita ou testes sancionados). Não execute isso contra sistemas que você não possui ou para os quais não possui autorização por escrito para testar.

Referências

• Android Security Bulletin (maio de 2026)
• Entrada NVD para CVE-2026-0073
• Fontes ADB do AOSP (daemon/auth.cpp)