CVE-2026-0073 PoC（无线 ADB TLS 认证绕过）

此目录包含针对 CVE-2026-0073 的 Python 概念验证脚本。

该脚本使用 AI 辅助代码生成技术生成。

概述

CVE-2026-0073 是 ADB 守护进程证书验证（auth.cpp 中的 adbd_tls_verify_cert）中的一个逻辑问题。 存在漏洞的检查将 EVP_PKEY_cmp(...) 的任何非零返回值视为匹配成功。

预期的比较结果处理应为：

• 1 = 密钥匹配
• 0 = 密钥不匹配
• 负值 = 错误 / 不支持的比较

在存在漏洞的构建版本中，负值被视为真值，可能错误地将证书标记为已授权。

poc-cve-2026-0073.py 的功能

该脚本：

1. 创建非 RSA 客户端证书（ec 或 ed25519）。
2. 连接到目标 ADB TCP 服务。
3. 执行 CNXN -> STLS -> TLS 握手流程。
4. 通过存在漏洞的证书比较路径进行认证。
5. 打开命令服务（shell:，并带有 exec: 回退）。
6. 打印命令输出。

环境要求

• Python 3.10+（推荐）
• cryptography 包
• 目标设备已启用无线 ADB
• 网络可访问目标 ADB 端口
• 目标设备的测试授权

安装依赖：

pip install cryptography

使用方法

发现目标 ADB 服务（如需要）：

adb mdns services

运行 PoC：

python3 poc-cve-2026-0073.py <target_ip> [port] [command] [key_type] [--verbose]

参数：

• target_ip：目标 Android 设备 IP 地址
• port：ADB 端口（默认：5555）
• command：要执行的命令（默认：id）
• key_type：ec 或 ed25519（默认：ec）
• --verbose：启用协议调试日志

示例：

python3 poc-cve-2026-0073.py 192.168.1.100 5555 id
python3 poc-cve-2026-0073.py 192.168.1.100 5555 whoami ec --verbose
python3 poc-cve-2026-0073.py 192.168.1.100 5555 getprop ed25519

典型的成功输出

[*] Opening service: 'shell:id'
[*] After OPEN, received: OKAY  arg0=2  data=b''
[+] Stream open (local_id=1, remote_id=2)

[+] Command output:
----------------------------------------
uid=2000(shell) gid=2000(shell) ...
----------------------------------------

[+] Exploitation successful.

故障排除

• Connection refused

  • 无线 ADB 可能已禁用。
  • 目标 IP/端口错误。

• certificate_unknown

  • 设备可能已修补此问题。
  • 或者目标在此认证路径上没有符合条件的受信任密钥状态。

• 等待响应超时

  • 确认网络路径和目标 ADB 套接字可用性。
  • 使用 --verbose 重试以获取数据包级跟踪。

关于补丁级别检查的说明

基础操作系统安全补丁级别和 Mainline 模块修补可能不同。 设备可能显示较旧的月度 SPL，同时已接收较新的 ADB 模块修复。

有用的检查：

adb shell getprop ro.build.version.security_patch
adb shell pm list packages --apex-only | grep adbd
adb shell dumpsys package com.google.android.adbd | grep -E "versionCode|versionName|lastUpdateTime"

负责任的使用

仅在授权环境中使用此 PoC（自有实验室设备、明确许可或经批准的测试）。 请勿针对您不拥有或未经书面授权测试的系统运行此脚本。

参考

• Android 安全公告（2026 年 5 月）
• CVE-2026-0073 的 NVD 条目
• AOSP ADB 源码（daemon/auth.cpp）