Google Android - CVE-2026-0073
Date de publication :
Il s'agit d'une vulnérabilité dans le composant adbd (Android Debug Bridge daemon), plus précisément dans la fonction adbd_tls_verify_cert du fichier auth.cpp, présent dans le sous-système système d'Android.
Android est le système d'exploitation mobile de Google, basé sur le noyau Linux. Il est déployé sur des milliards de smartphones, tablettes et autres appareils connectés. Il intègre un ensemble de services système, d'API et d'environnements d'exécution applicatifs, distribués à la fois via les mises à jour OEM et le canal Google Play System Updates (Project Mainline).
Ce composant gère la communication entre un appareil Android et un hôte distant via le protocole ADB sans fil (Wireless ADB over TLS). La faille provient d'une erreur logique dans le processus de vérification du certificat TLS lors de l'authentification mutuelle : la vérification peut être contournée sans présenter de certificat valide. Un attaquant positionné sur le même réseau local ou à proximité physique de l'appareil peut établir une connexion ADB sans fil sans authentification. Aucune interaction de l'utilisateur n'est requise. L'exploitation est qualifiée de zero-click par les chercheurs.
Elle permet l'exécution de code arbitraire à distance en tant qu'utilisateur shell, sans privilège d'exécution supplémentaire.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-303 : Incorrect Implementation of Authentication Algorithm
Détails sur l'exploitation
• Vecteur d'attaque : Réseau local
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• Android version 14.0
• Android version 15.0
• Android version 16.0 (y compris les builds QPR2 bêta 1, 2 et 3)