ADB TLS Auth Bypass Exploit (CVE-2026-0073)

Автоматизированный сетевой сканер и инструмент эксплуатации для CVE-2026-0073 — уязвимости в демоне Android Debug Bridge (adbd), которая позволяет выполнить неаутентифицированный удалённый код (RCE) и получить интерактивный доступ к оболочке через беспроводную отладку.

Этот инструмент специально оптимизирован для современных устройств Android (Android 13+), включает mDNS-автообнаружение для поиска рандомизированных ADB-портов и полностью интерактивную raw PTY-оболочку.

🚨 Краткое описание уязвимости (Android Security Bulletin)

CVE ID: CVE-2026-0073

Android Issue ID: A-469080888

Воздействие: RCE (удалённое выполнение кода)

Серьёзность: Критическая

Официально затронутые версии: Android 14, 15, 16, 16-qpr2 ........ некоторые сообщают, что некоторые устройства Android 13 уязвимы

⚠️ Отказ от ответственности: Данный инструмент предоставляется исключительно в образовательных целях и для авторизованных исследований безопасности. Не используйте его против сетей или устройств, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.

📖 Предыстория и ссылки

Современные устройства Android используют взаимную аутентификацию TLS для беспроводной отладки, чтобы предотвратить несанкционированные подключения. Однако CVE-2026-0073 выявляет криптографический изъян: когда adbd обрабатывает клиентский сертификат с не-RSA ключами (например, Elliptic Curve ec или ed25519), внутренняя функция OpenSSL EVP_PKEY_cmp возвращает код ошибки, который неправильно обрабатывается, фактически обходя проверку аутентификации полностью.

Для дальнейшего изучения и глубокого технического анализа этой уязвимости ознакомьтесь со следующими ресурсами:

• Глубокое погружение в уязвимость: Barghest - CVE-2026-0073 ADB TLS Auth Bypass
• Эксплуатация в реальном мире: Mobile Hacker - Android RCE via Wireless Debugging: From Network Access to Shell

Примечание о подверженности устройств: Хотя эта ошибка в целом документирована для конкретных версий Android, реальное тестирование показало неожиданные результаты на различных реализациях OEM. Как отметил автор блога Mobile Hacker: «Во время моего теста по какой-то причине мне удалось эксплуатировать и Android 13, см. Рисунок 1. В частности, Oppo Reno5 Z.»

⚙️ Предварительные требования

1. Python 3.7+
2. OpenSSL, установленный и доступный в PATH вашей системы.
3. Python-библиотека zeroconf (для сканирования сети).

# Установка необходимого Python-пакета
pip install zeroconf

🚀 Использование

1. Автоматический режим (рекомендуется)

Просто запустите скрипт без аргументов. Он будет прослушивать локальную сеть в течение 4 секунд, перехватывать mDNS-рассылки всех устройств Android с включённой беспроводной отладкой и покажет вам меню.

python3 adb_tls_exploit.py

Пример вывода:

[*] Scanning local network for Android 13+ devices for 4 seconds...

[+] Found active Android devices:

    [1] 192.168.1.15    : 43881 | Pixel 7
    [2] 192.168.1.42    : 39105 | Oppo Reno5 Z

Select a device to target [1-2]: 2

============================================================
  ADB TLS Auth Bypass -> Interactive Shell
============================================================
[*] Target   : 192.168.1.42:39105
[*] Key type : ec

[*] Generating ec self-signed certificate via openssl...
[+] Server requested STLS. Upgrading to TLS...
[+] TLS handshake accepted — mutual authentication bypassed!
[*] Authenticated! Opening interactive shell service...

[+] Shell obtained! (Press Ctrl+D to exit)

Reno5Z:/ $ id
uid=2000(shell) gid=2000(shell) groups=2000(shell),1004(input),1007(log),1011(adb)...

2. Ручной режим

Если вы уже знаете IP-адрес цели и рандомизированный порт (или работаете с устаревшим устройством на порту 5555, которое было пропатчено для работы через TLS), вы можете пропустить сканер:

python3 adb_tls_exploit.py <IP_ADDRESS> <PORT> [--key ec|ed25519] [--verbose]

# Пример
python3 adb_tls_exploit.py 192.168.1.50 42069 --key ec

🛠️ Как это работает (изнутри)

1. Фаза разведки через mDNS: Скрипт использует библиотеку zeroconf для пассивного прослушивания служб _adb-tls-connect._tcp.local.. Это позволяет мгновенно сопоставить цели без шумного или медленного сканирования TCP-портов.
2. Обычное рукопожатие: Скрипт подключается к целевому порту и отправляет стандартный пакет ADB CNXN, рекламирующий поддержку TLS (tls_auth).
3. Переход на STLS: Устройство Android отвечает STLS, требуя установки защищённого соединения.
4. Эксплойт (TLS-рукопожатие): Скрипт оборачивает сокет в TLS и предъявляет свежесгенерированный самоподписанный сертификат с ключом Elliptic Curve (ec) или ed25519.
5. Обход аутентификации: adbd пытается проверить ключ. Так как ключ не RSA, EVP_PKEY_cmp возвращает -1 или -2. Уязвимый код внутри Android неправильно интерпретирует это ненулевое возвращаемое значение как успешное криптографическое совпадение.

⚠️ Устранение неполадок

• «[-] TLS Handshake rejected» или предупреждение «certificate_unknown»:
  • Устройство, возможно, содержит патч против CVE-2026-0073 (уровень безопасности >= мая 2026).
  • Устройство никогда не было сопряжено с авторизованным ПК, то есть его файл /data/misc/adb/adb_keys полностью пуст. Для срабатывания эксплойта в хранилище ключей должен присутствовать хотя бы один существующий (даже не связанный) ключ, чтобы запустить ошибочное сравнение в цикле.
• «OpenSSL failed» / «Ensure 'openssl' is installed»:
  • Убедитесь, что на вашей хост-системе установлены бинарные файлы OpenSSL (например, apt install openssl, brew install openssl или установка через Windows-сборки).
• Сканер ничего не находит:
  • Убедитесь, что атакующая машина и устройство Android находятся в одной подсети Wi-Fi и что изоляция точек доступа отключена.