🔓 CVE-2026-0073: Обход аутентификации adbd в Android

Рабочий Proof of Concept для уязвимости обхода TLS-аутентификации Wireless ADB. Обнаружена Barghest, рабочий PoC от devtint.

📋 Обзор

CVE-2026-0073 — это критическая ошибка криптографической логики в демоне Android Debug Bridge (adbd), которая предоставляет неаутентифицированному атакующему в той же локальной сети Zero-Click удалённый root-доступ.

Этот репозиторий содержит:

• adb_tls_auth_bypass.py — Чистый автономный PoC для обхода аутентификации STLS/TLS.
• main.py — Расширенный фреймворк эксплуатации с автоматическим профилированием, извлечением артефактов и внедрением персистентности.

Криптографическая ошибка

Уязвимость существует в daemon/auth.cpp внутри функции adbd_tls_verify_cert(). Когда клиент подключается через Wireless ADB (путь STLS), происходит взаимное TLS 1.3 рукопожатие. Устройство сравнивает открытый ключ клиента с сохранёнными авторизованными ключами с помощью OpenSSL EVP_PKEY_cmp().

// daemon/auth.cpp — Уязвимая логика
if (EVP_PKEY_cmp(stored_key, client_key)) {
    // EVP_PKEY_cmp возвращает:
    //   1  = ключи совпадают
    //   0  = ключи различаются
    //  -1  = несоответствие типов (RSA vs EC)  ← ОШИБКА: истинно в C++
    authorized = true;
}

• Если сохранённый ключ — RSA, а клиент предоставляет ключ EC P-256, EVP_PKEY_cmp() возвращает -1 (несоответствие типов).
• В C/C++ -1 вычисляется как true.
• Логика adbd интерпретирует это -1 как полное совпадение.
• Устройство молча предоставляет root-оболочку, не пробуждая экран и не запрашивая подтверждения у жертвы.

⚠️ Важно: STLS vs AUTH — Требования к портам

Эта эксплойт работает только на пути Wireless Debugging STLS, а не на устаревшем пути adb tcpip.

Как определить правильный порт

1. На целевом устройстве: Настройки → Параметры разработчика → Беспроводная отладка → ВКЛ
2. IP-адрес и рандомизированный порт отображаются на этом экране (например, 192.168.1.34:38741)
3. Этот порт меняется каждый раз при переключении беспроводной отладки или повторном подключении устройства к Wi-Fi

Ошибка: «Device responded with AUTH instead of STLS»

Это означает, что вы подключаетесь к устаревшему ADB TCP-порту (обычно 5555). Устаревший путь использует старое RSA AUTH-рукопожатие — совершенно другой путь кода в adbd, который не затронут этой CVE. Вместо этого необходимо подключаться к порту беспроводной отладки.

⚡ Расширенные возможности

Фреймворк (main.py) расширяет базовый обход TLS в модульный набор инструментов пост-эксплуатации:

• 💻 Интерактивная оболочка: Обеспечивает прямой доступ к стабильному постоянному псевдотерминалу uid=0(root).
• 🔍 Автоматическое профилирование (--profile): Мгновенно определяет ОС цели, уровень патчей безопасности, статус SELinux и активные таблицы маршрутизации для перемещения по внутренней сети.
• 📂 Извлечение артефактов (--extract): Автоматически выгружает высокочувствительные системные файлы (например, /data/misc/adb/adb_keys, /system/build.prop) напрямую через сокет обхода.
• 🔑 Скрытая персистентность (--persist): Внедряет поддельный RSA-ключ в файл авторизованных ключей цели. После внедрения атакующий сохраняет постоянный, полностью аутентифицированный доступ, даже если CVE позже будет исправлена.

🏃 Использование

1. Установка зависимостей:

   root@kitploit:~

   pip install cryptography
   

2. Поиск цели: Найдите устройство Android с включённой беспроводной отладкой в вашей локальной подсети. Запишите динамический порт с экрана «Параметры разработчика» устройства.

3. Запуск фреймворка эксплуатации:

   root@kitploit:~

   # Интерактивная оболочка (по умолчанию)
   python main.py <IP> <PORT>
   
   # Выполнение одной команды
   python main.py <IP> <PORT> --cmd "id"
   
   # Автоматическое профилирование системы
   python main.py <IP> <PORT> --profile
   
   # Скрытое извлечение артефактов
   python main.py <IP> <PORT> --extract
   
   # Внедрение постоянного бэкдор-ключа
   python main.py <IP> <PORT> --persist
   

4. Автономный PoC (минимальный):

   root@kitploit:~

   python adb_tls_auth_bypass.py <IP> <PORT> --cmd "id; whoami"
   

🔧 Устранение неполадок

🛡️ Меры защиты

• Патч: Обновитесь до майского бюллетеня безопасности Android (2026-05-01 или новее).
• Отключение службы: Держите беспроводную отладку выключенной, когда не проводите активное профилирование приложения.
• Ротация ключей: Периодически выполняйте «Отозвать авторизации USB-отладки» в параметрах разработчика, чтобы удалить устаревшие RSA-ключи из хранилища ключей устройства.

⚖️ Правовое уведомление

Этот репозиторий предназначен строго для образовательных целей, red teaming и авторизованного тестирования безопасности. Несанкционированный доступ к компьютерным системам незаконен. Автор не несёт ответственности за неправомерное использование этой информации.