Šta se desilo?

Guglova bezbednosna najava za maj 2026. godinu otkrivila je ozbiljnu ranjivost u Android operativnom sistemu identificiranu kao CVE-2026-0073. Nedostatak je u adbd daemonu (servis za Android Debug Bridge) koji omogućava lokalnim napadačima da se bezuslovno povežu na uredjaj i dobiju pristup shell-u bez bilo kakve akcije korisnika. Istraživači iz Barghest bezbednosne kompanije su otkrili problem koji je vezan za kriptografsku logiku - specifično grešku u funkciji koja verificira sertifikate tokom TLS rukovanja.

Koga pogađa?

Prvenstveno su ugroženi korisnici Android 14, 15 i 16 uredjaja, naročito ako imaju uključene opcije za razvijače i bežičnog debagovanja na mreži. Rizik je posebno veliki za korporativne okruženje gde IT administratori koriste bežični ADB za upravljanje uredjajima. Napadač mora biti na istoj lokalnoj mreži kako bi iskoristio ovu ranjivost.

Kako se zaštititi?

  • Ažurirajte na maj 2026. bezbednosnu zakrpu ili noviju verziju čim bude dostupna
  • Onemogućite opcije za razvijače kada nisu aktivno u upotrebi
  • Isključite bežični ADB (ADB preko TCP-a) na nepoverenim mrežama
  • Uklonite autorizacije za nepoznate debug domaćine iz trusted store-a
  • Držite uredjaj na privatnim i zaštićenim mrežama kada koristite debugging alate
  • Redovno pregledajte i čistite listu prethodno pariranih host ključeva

Tehnički detalji

Ranjivost se nalazi u adbd_tls_verify_cert funkciji iz auth.cpp datoteke. Problem je u tome što kod koji poredi javne ključeve klijenta sa autorizovanim RSA ključevima na uredjaju ne pravi razliku između RSA sertifikata i drugih tipova (kao što su EC P-256 ili Ed25519). Kada EVP_PKEY_cmp API vrati -1 kao indikator neslaganja algoritama, C++ implementacija pogrešno tumači ovu vrednost kao uspešnu validaciju. Napadač prvo uspostavlja TCP konekciju, nego prolazi kroz STLS handshake i predaje maliciozni sertifikat sa drugačijim algoritmom. Jednom kada zaobidjes autentifikaciju, napadač može otvoriti remote shell sa dozvolama shell korisnika što omogućava zaobilaženje aplikacijskih sandbox-a, krađe osjetljivih podataka, instalaciju zlonamernog softvera i manipulaciju sistemskim postavkama.

Preporuka Sajber Radara

Ukoliko koristite Android 14 ili novije verzije, prioritizujte primenu maj 2026. bezbednosne zakrpe čim bude dostupna. Za korporativne okruženja preporučujemo jasan MDM (Mobile Device Management) policy koji ograničava bežični ADB na razvijačkim uredjajima i zahteva redovnu reviziju aktivnih debug sesija.