CVE-2026-78745 — Execução Remota de Código via Android Debug Bridge (ADB)

CVE-2026-78745 afeta dispositivos HiDPT / Weyon HiDPTAndroid que utilizam as plataformas Hi3751V350 e Hi3751V352E_DMO. A vulnerabilidade permite que um atacante remoto execute código arbitrário através do daemon Android Debug Bridge (adbd).

Visão Geral

Durante uma pesquisa de segurança independente, identifiquei uma vulnerabilidade que afeta o serviço Android Debug Bridge (ADB) em dispositivos HiDPT / Weyon HiDPTAndroid.

O serviço ADB estava exposto remotamente e podia ser acessado sem o nível de restrição esperado para uma interface administrativa privilegiada. Durante os testes, verificou-se que a sessão ADB resultante operava com privilégios de root.

A vulnerabilidade foi reportada ao fornecedor e posteriormente submetida à MITRE para atribuição de CVE. Foi-lhe atribuído o identificador CVE-2026-78745 e divulgada publicamente após a atribuição do CVE.

Produtos Afetados

Componente afetado: daemon Android Debug Bridge (adbd)

Detalhes Técnicos

A vulnerabilidade está relacionada com a exposição remota do serviço Android Debug Bridge em dispositivos afetados.

O ADB é uma interface Android poderosa, comumente utilizada para desenvolvimento, depuração e administração de dispositivos. Por fornecer acesso privilegiado ao sistema subjacente, deveria normalmente estar protegido contra acesso remoto não autorizado.

Durante os testes, o serviço ADB podia ser alcançado remotamente e uma sessão ADB foi estabelecida no dispositivo afetado. Em seguida, verifiquei o nível de privilégio sob o qual a sessão operava.

A verificação retornou:

root

Isto confirmou que a sessão ADB operava com privilégios de root.

A combinação de ADB remotamente acessível e execução com privilégios de root cria um caminho para a execução de código arbitrário no dispositivo afetado.

Impacto

Um atacante capaz de alcançar o serviço ADB exposto poderá executar código arbitrário num dispositivo afetado.

Como a sessão ADB opera com privilégios de root, uma exploração bem-sucedida poderá proporcionar acesso extensivo ao ambiente Android subjacente. O impacto real dependerá da configuração do dispositivo, dos serviços ativados e da rede na qual está implementado.

Descoberta e Reporte

Descobri a vulnerabilidade em 26 de maio de 2026 durante uma pesquisa de segurança independente.

A vulnerabilidade foi reportada ao fornecedor afetado no mesmo dia. Não foi recebida qualquer resposta ou confirmação do fornecedor após o reporte.

Em 8 de junho de 2026, submeti a vulnerabilidade à MITRE para atribuição de CVE.

A MITRE atribuiu subsequentemente o identificador CVE-2026-78745 em 2 de setembro de 2026.

Resposta do Fornecedor

O fornecedor afetado foi notificado em 26 de maio de 2026.

Não tinha sido recebida qualquer resposta ou confirmação do fornecedor no momento da divulgação pública.

Cronograma de Divulgação

Mitigação

Até que uma correção fornecida pelo fornecedor ou firmware atualizado esteja disponível, os utilizadores de dispositivos afetados devem considerar as seguintes medidas:

• Restringir o acesso ao serviço ADB a sistemas e redes de confiança.
• Desativar o ADB quando não for necessário.
• Evitar expor o ADB a redes não confiáveis ou públicas.
• Utilizar segmentação de rede para isolar dispositivos afetados de sistemas não confiáveis.
• Aplicar atualizações de firmware e segurança fornecidas pelo fornecedor quando disponíveis.

Considerações de Segurança

O ADB fornece capacidades administrativas poderosas e deve ser tratado como um serviço sensível.

As organizações que implementam dispositivos afetados devem rever a sua configuração de rede e determinar se o ADB é acessível a partir de segmentos de rede não pretendidos. Quando o ADB for necessário, o acesso deve ser limitado a sistemas autorizados e redes de confiança.

Informação do CVE

Referências

• CVE-2026-78745
• Programa de CVE da MITRE

Investigador

n0c71v3x