CVE-2026-0073 PoC (Обход аутентификации TLS в беспроводном ADB)

Этот каталог содержит proof of concept на Python для CVE-2026-0073.

Скрипт создан с использованием методов генерации кода на основе ИИ.

Краткое описание

CVE-2026-0073 — логическая ошибка в проверке сертификатов демона ADB (adbd_tls_verify_cert в auth.cpp). Уязвимая проверка рассматривает любое ненулевое возвращаемое значение EVP_PKEY_cmp(...) как успешное совпадение.

Ожидаемая обработка результата сравнения должна быть следующей:

• 1 = ключи совпадают
• 0 = ключи не совпадают
• отрицательные значения = ошибка / неподдерживаемое сравнение

В уязвимых сборках отрицательные значения рассматриваются как истинные и могут ошибочно пометить сертификат как авторизованный.

Что делает poc-cve-2026-0073.py

Скрипт:

1. Создаёт клиентский сертификат не-RSA типа (ec или ed25519).
2. Подключается к целевому TCP-сервису ADB.
3. Выполняет последовательность CNXN -> STLS -> TLS handshake.
4. Проходит аутентификацию через уязвимый путь сравнения сертификатов.
5. Открывает командный сервис (shell: с запасным вариантом exec:).
6. Выводит результат выполнения команды.

Требования

• Python 3.10+ (рекомендуется)
• Пакет cryptography
• Беспроводной ADB включён на целевом устройстве
• Сетевая доступность целевого порта ADB
• Разрешение на тестирование целевого устройства

Установка зависимости:

pip install cryptography

Использование

Обнаружение целевого сервиса ADB (при необходимости):

adb mdns services

Запуск PoC:

python3 poc-cve-2026-0073.py <target_ip> [port] [command] [key_type] [--verbose]

Аргументы:

• target_ip: IP-адрес целевого Android-устройства
• port: Порт ADB (по умолчанию: 5555)
• command: Команда для выполнения (по умолчанию: id)
• key_type: ec или ed25519 (по умолчанию: ec)
• --verbose: Включить журналы отладки протокола

Примеры:

python3 poc-cve-2026-0073.py 192.168.1.100 5555 id
python3 poc-cve-2026-0073.py 192.168.1.100 5555 whoami ec --verbose
python3 poc-cve-2026-0073.py 192.168.1.100 5555 getprop ed25519

Пример успешного вывода

[*] Opening service: 'shell:id'
[*] After OPEN, received: OKAY  arg0=2  data=b''
[+] Stream open (local_id=1, remote_id=2)

[+] Command output:
----------------------------------------
uid=2000(shell) gid=2000(shell) ...
----------------------------------------

[+] Exploitation successful.

Устранение неполадок

• Connection refused

  • Беспроводной ADB может быть отключён.
  • Неверный IP-адрес/порт цели.

• certificate_unknown

  • Устройство, скорее всего, имеет исправление для этой проблемы.
  • Или у цели нет подходящего состояния доверенного ключа для этого пути аутентификации.

• Таймаут ожидания ответов

  • Проверьте сетевой путь и доступность сокета ADB на цели.
  • Повторите с --verbose для трассировки на уровне пакетов.

Примечания по проверке уровня исправлений

Базовый уровень исправлений безопасности ОС и исправления модулей Mainline могут различаться. Устройство может показывать более старый ежемесячный SPL, получая при этом более новые исправления модуля ADB.

Полезные проверки:

adb shell getprop ro.build.version.security_patch
adb shell pm list packages --apex-only | grep adbd
adb shell dumpsys package com.google.android.adbd | grep -E "versionCode|versionName|lastUpdateTime"

Ответственное использование

Используйте этот PoC только в авторизованных средах (собственные лабораторные устройства, явное разрешение или санкционированное тестирование). Не запускайте его против систем, которыми вы не владеете или на тестирование которых у вас нет письменного разрешения.

Ссылки

• Бюллетень безопасности Android (май 2026)
• Запись NVD для CVE-2026-0073
• Исходные коды ADB из AOSP (daemon/auth.cpp)