🔓 CVE-2026-0073: Bypass de Autenticação do adbd no Android

Prova de Conceito Armada para a vulnerabilidade de bypass de autenticação TLS do ADB sem fio. Descoberta por Barghest, PoC armada por devtint.

📋 Visão Geral

A CVE-2026-0073 é uma falha crítica de lógica criptográfica no daemon do Android Debug Bridge (adbd) que concede a um atacante não autenticado na mesma rede local acesso root remoto Zero-Click.

Este repositório contém:

• adb_tls_auth_bypass.py — PoC limpa e autônoma para o bypass de autenticação STLS/TLS.
• main.py — Framework de exploração maximizado com perfilamento automatizado, extração de artefatos e injeção de persistência.

A Falha Criptográfica

A vulnerabilidade existe em daemon/auth.cpp dentro da função adbd_tls_verify_cert(). Quando um cliente se conecta via ADB sem fio (caminho STLS), ocorre um handshake TLS 1.3 mútuo. O dispositivo compara a chave pública do cliente com as chaves autorizadas armazenadas usando EVP_PKEY_cmp() do OpenSSL.

// daemon/auth.cpp — A Lógica Vulnerável
if (EVP_PKEY_cmp(stored_key, client_key)) {
    // EVP_PKEY_cmp retorna:
    //   1  = chaves correspondem
    //   0  = chaves diferem
    //  -1  = incompatibilidade de tipo (RSA vs EC)  ← BUG: verdadeiro em C++
    authorized = true;
}

• Se a chave armazenada for RSA e o cliente apresentar uma chave EC P-256, EVP_PKEY_cmp() retorna -1 (incompatibilidade de tipo).
• Em C/C++, -1 é avaliado como true.
• A lógica do adbd interpreta esse -1 como uma correspondência perfeita.
• O dispositivo concede silenciosamente um shell root sem nunca acender a tela ou notificar a vítima.

⚠️ Crítico: STLS vs AUTH — Requisitos de Porta

Este exploit funciona apenas no caminho STLS do Wireless Debugging, não no caminho legado adb tcpip.

Como identificar a porta correta

1. No dispositivo alvo: Configurações → Opções do desenvolvedor → Wireless Debugging → ATIVADO
2. O endereço IP e a porta aleatória são exibidos nessa tela (ex.: 192.168.1.34:38741)
3. Essa porta muda sempre que o Wireless Debugging é alternado ou o dispositivo se reconecta ao Wi-Fi

Erro: "Device responded with AUTH instead of STLS"

Isso significa que você está se conectando a uma porta TCP ADB legada (normalmente 5555). O caminho legado usa o antigo handshake RSA AUTH — um caminho de código completamente diferente no adbd que não é afetado por esta CVE. Você deve se conectar à porta do Wireless Debugging.

⚡ Capacidades Maximizadas

O framework (main.py) estende o bypass TLS principal em um kit de ferramentas modular de pós-exploração:

• 💻 Shell Interativo: Acessa diretamente um pseudo-terminal estável e persistente uid=0(root).
• 🔍 Perfilamento Automatizado (--profile): Identifica instantaneamente o SO alvo, nível de patch de segurança, aplicação do SELinux e tabelas de roteamento ativas para pivô em rede interna.
• 📂 Extração de Artefatos (--extract): Exfiltra automaticamente arquivos de sistema altamente sensíveis (ex.: /data/misc/adb/adb_keys, /system/build.prop) diretamente pelo socket de bypass.
• 🔑 Persistência Furtiva (--persist): Injeta uma chave pública RSA maliciosa no arquivo de chaves autorizadas do alvo. Uma vez injetada, o atacante mantém acesso permanente e totalmente autenticado, mesmo que a CVE seja corrigida posteriormente.

🏃 Uso

1. Instalar Dependências:

   root@kitploit:~

   pip install cryptography
   

2. Localizar o Alvo: Encontre um dispositivo Android com Wireless Debugging habilitado na sua sub-rede local. Anote a porta dinâmica na tela de Opções do desenvolvedor do dispositivo.

3. Executar o Framework de Exploração:

   root@kitploit:~

   # Shell Interativo (Padrão)
   python main.py <IP> <PORTA>
   
   # Execução de Comando Único
   python main.py <IP> <PORTA> --cmd "id"
   
   # Perfilamento Automatizado do Sistema
   python main.py <IP> <PORTA> --profile
   
   # Extração Furtiva de Artefatos
   python main.py <IP> <PORTA> --extract
   
   # Injetar Chave de Backdoor Permanente
   python main.py <IP> <PORTA> --persist
   

4. PoC Autônoma (mínima):

   root@kitploit:~

   python adb_tls_auth_bypass.py <IP> <PORTA> --cmd "id; whoami"
   

🔧 Solução de Problemas

🛡️ Mitigação

• Patch: Atualize para o Android Security Bulletin de maio de 2026 (2026-05-01 ou posterior).
• Desativar Serviço: Mantenha o Wireless Debugging desativado quando não estiver ativamente perfilando um aplicativo.
• Rotação de Chaves: Revogue periodicamente as "autorizações de depuração USB" nas Opções do desenvolvedor para purgar chaves RSA legadas do keystore do dispositivo.

⚖️ Aviso Legal

Este repositório é estritamente para fins de educação, red teaming e testes de segurança autorizados. O acesso não autorizado a sistemas de computador é ilegal. O autor não assume responsabilidade pelo uso indevido destas informações.