CVE-2026-0073 PoC (Desvio de Autenticação TLS do ADB Wireless)

Este diretório contém uma prova de conceito em Python para CVE-2026-0073.

O script é gerado usando técnicas de geração de código assistidas por IA.

Resumo

CVE-2026-0073 é um problema de lógica na verificação de certificados do daemon ADB (adbd_tls_verify_cert em auth.cpp). A verificação vulnerável trata qualquer valor diferente de zero retornado por EVP_PKEY_cmp(...) como uma correspondência bem-sucedida.

O tratamento esperado do resultado da comparação deve ser:

• 1 = chaves correspondem
• 0 = chaves não correspondem
• valores negativos = erro / comparação não suportada

Em builds vulneráveis, valores negativos são tratados como verdadeiros e podem marcar incorretamente um certificado como autorizado.

O que poc-cve-2026-0073.py faz

O script:

1. Cria um certificado de cliente não-RSA (ec ou ed25519).
2. Conecta-se ao serviço TCP ADB alvo.
3. Realiza o fluxo de handshake CNXN -> STLS -> TLS.
4. Autentica através do caminho de comparação de certificado vulnerável.
5. Abre um serviço de comando (shell: com fallback exec:).
6. Exibe a saída do comando.

Requisitos

• Python 3.10+ (recomendado)
• Pacote cryptography
• ADB sem fio ativado no alvo
• Acessibilidade de rede à porta ADB alvo
• Autorização de teste para o dispositivo alvo

Instalar dependência:

pip install cryptography

Uso

Descobrir serviço ADB alvo (se necessário):

adb mdns services

Executar o PoC:

python3 poc-cve-2026-0073.py <ip_alvo> [porta] [comando] [tipo_chave] [--verbose]

Argumentos:

• ip_alvo: Endereço IP do dispositivo Android alvo
• porta: Porta ADB (padrão: 5555)
• comando: Comando a executar (padrão: id)
• tipo_chave: ec ou ed25519 (padrão: ec)
• --verbose: Ativar logs de depuração do protocolo

Exemplos:

python3 poc-cve-2026-0073.py 192.168.1.100 5555 id
python3 poc-cve-2026-0073.py 192.168.1.100 5555 whoami ec --verbose
python3 poc-cve-2026-0073.py 192.168.1.100 5555 getprop ed25519

Saída típica de sucesso

[*] Abrindo serviço: 'shell:id'
[*] Após OPEN, recebido: OKAY  arg0=2  data=b''
[+] Stream aberto (local_id=1, remote_id=2)

[+] Saída do comando:
----------------------------------------
uid=2000(shell) gid=2000(shell) ...
----------------------------------------

[+] Exploração bem-sucedida.

Solução de problemas

• Connection refused

  • O ADB sem fio pode estar desativado.
  • IP/porta alvo incorretos.

• certificate_unknown

  • Dispositivo provavelmente corrigido para esta falha.
  • Ou o alvo não possui estado de chave confiável elegível para este caminho de autenticação.

• Tempo limite aguardando respostas

  • Confirme o caminho de rede e a disponibilidade do socket ADB alvo.
  • Tente novamente com --verbose para traces em nível de pacote.

Notas sobre verificações de nível de patch

O nível de patch de segurança do sistema operacional base e a aplicação de patches do módulo Mainline podem diferir. Um dispositivo pode exibir um SPL mensal mais antigo enquanto recebe correções mais recentes do módulo ADB.

Verificações úteis:

adb shell getprop ro.build.version.security_patch
adb shell pm list packages --apex-only | grep adbd
adb shell dumpsys package com.google.android.adbd | grep -E "versionCode|versionName|lastUpdateTime"

Uso responsável

Use este PoC apenas em ambientes autorizados (dispositivos de laboratório próprios, permissão explícita ou testes sancionados). Não execute isso em sistemas que você não possui ou para os quais não tenha autorização por escrito para testar.

Referências

• Boletim de Segurança Android (Maio de 2026)
• Entrada NVD para CVE-2026-0073
• Fontes ADB do AOSP (daemon/auth.cpp)