CVE-2026-78745 — Удалённое выполнение кода через Android Debug Bridge (ADB)

CVE-2026-78745 затрагивает устройства HiDPT / Weyon HiDPTAndroid на платформах Hi3751V350 и Hi3751V352E_DMO. Уязвимость позволяет удалённому злоумышленнику выполнять произвольный код через демон Android Debug Bridge (adbd).

Обзор

В ходе независимого исследования безопасности я выявил уязвимость, затрагивающую службу Android Debug Bridge (ADB) на устройствах HiDPT / Weyon HiDPTAndroid.

Служба ADB была доступна удалённо и могла быть использована без того уровня ограничений, который ожидается для привилегированного административного интерфейса. В ходе тестирования выяснилось, что полученная ADB-сессия работает с привилегиями root.

Уязвимость была сообщена вендору, а затем передана в MITRE для присвоения CVE. Ей был присвоен идентификатор CVE-2026-78745, и она была публично раскрыта после присвоения CVE.

Затронутые продукты

Затронутый компонент: демон Android Debug Bridge (adbd)

Технические детали

Уязвимость связана с удалённой доступностью службы Android Debug Bridge на затронутых устройствах.

ADB — это мощный интерфейс Android, обычно используемый для разработки, отладки и администрирования устройств. Поскольку он предоставляет привилегированный доступ к базовой системе, он должен быть защищён от несанкционированного удалённого доступа.

В ходе тестирования служба ADB была доступна удалённо, и на затронутом устройстве была установлена ADB-сессия. Затем я проверил уровень привилегий, под которым работала сессия.

Проверка вернула:

root

Это подтвердило, что ADB-сессия работала с привилегиями root.

Сочетание удалённо доступного ADB и выполнения с привилегиями root создаёт путь к выполнению произвольного кода на затронутом устройстве.

Воздействие

Злоумышленник, способный получить доступ к открытой службе ADB, может выполнять произвольный код на затронутом устройстве.

Поскольку ADB-сессия работает с привилегиями root, успешная эксплуатация может предоставить широкий доступ к базовой среде Android. Фактическое воздействие будет зависеть от конфигурации устройства, включённых служб и сети, в которой оно развёрнуто.

Обнаружение и отчётность

Я обнаружил уязвимость 26 мая 2026 года в ходе независимого исследования безопасности.

Уязвимость была сообщена затронутому вендору в тот же день. После отправки отчёта от вендора не было получено ни ответа, ни подтверждения.

8 июня 2026 года я передал уязвимость в MITRE для присвоения CVE.

MITRE впоследствии присвоил CVE-2026-78745 2 сентября 2026 года.

Ответ вендора

Затронутый вендор был уведомлён 26 мая 2026 года.

На момент публичного раскрытия от вендора не было получено ни ответа, ни подтверждения.

Хронология раскрытия

Смягчение последствий

До появления исправления от вендора или обновлённой прошивки пользователям затронутых устройств следует рассмотреть следующие меры:

• Ограничить доступ к службе ADB доверенными системами и сетями.
• Отключать ADB, когда он не требуется.
• Избегать предоставления доступа к ADB из ненадёжных или публичных сетей.
• Использовать сегментацию сети для изоляции затронутых устройств от ненадёжных систем.
• Применять прошивки и обновления безопасности от вендора по мере их появления.

Соображения безопасности

ADB предоставляет мощные административные возможности, и к нему следует относиться как к чувствительной службе.

Организации, развёртывающие затронутые устройства, должны пересмотреть свою сетевую конфигурацию и определить, доступен ли ADB из непредусмотренных сетевых сегментов. Если ADB требуется, доступ должен быть ограничен авторизованными системами и доверенными сетями.

Информация о CVE

Ссылки

• CVE-2026-78745
• Программа CVE от MITRE

Исследователь

n0c71v3x