Code 27 3D Companion Hub 恢复模式ADB Root提权漏洞(CVE-2026-36027)

Code 27 3D Companion Hub Vulnerabilities (CVE-2026-36027, CVE-2026-36028) 漏洞概述 Code 27 3D Companion Hub 是一个物理桌面设备，它渲染一个自定义 AI 角色（“Codie”）作为动画 3D 伴侣。用户可以上传或创建任何 3D 模型，多模态 AI 让角色感知其周围环境、阅读语气和肢体语言，并进行开放式对话。 此报告涵盖两个需要物理访问设备的漏洞。两者均针对构建版本进行了验证，并且在发布时未修补。 受影响设备/构建 发货固件是 userdebug 构建（在恢复横幅和 ro.build.display.id 中可见）。userdebug 构建允许 adb 通过 adb root 以 root 身份重新启动，这是 CVE-2026-36027 存在的关键启用器。 CVE-2026-36027 - 通过恢复中的 USB 调试 (ADB) 进行任意代码执行 执行摘要 物理接近的攻击者可以将 Companion Hub 引导到 Android 恢复模式，并获得 root 权限的 ADB shell（使用 SELinux 上下文 ）。由于设备发货为 userdebug 构建，adb 可以以 root 身份重新启动，赋予攻击者对恢复环境的只读交互能力，能够枚举构建和硬件属性，并访问恢复功能（sideload、fastboot、分区操作）。 获得的访问权限仅限于恢复 ramdisk，而不是 live Android 运行时。在测试中，恢复 命令失败（ 无法打开 ），因此系统分区未通过此路径直接挂载，引导的用户环境、kiosk 和任何解密的用户数据在此模式下不显示。 这仍然很重要，因为恢复模式的 root 访问权限是修改持久设备状态（例如，写入分区或应用自定义更新包）的基础，这样攻击者控制的代码可以在随后的正常启动中运行，在 live 设备上建立立足点。 概念验证 1. 关闭设备。 2. 设备完全关闭后，同时按住电源和音量按钮，直到设备进入 Android 恢复菜单。 3. 将 USB-C 电缆连接到 Companion Hub 和 USB-A 端口的计算机。 4. 使用按钮导航到 ，突出显示并确认。它将显示失败。这是预期的，exploit 仍然有效。（恢复日志显示 无法打开 。） 5. 在计算机上安装 ADB，确认设备已列出： 6. 设备处于恢复模式。以 root 上下文重新启动 adb： 7. 打开 shell - 你现在是设备的 root： 8. 使用 root shell，你可以枚举和与恢复文件系统交互： CVE-2026-36028 - 通过恢复中的 USB 调试 (ADB) 进行任意代码执行 执行摘要 从恢复菜单执行的工厂重置会擦除 userdata 分区，其中安装了 kiosk 应用程序。由于 kiosk 不是系统分区的一部分，它在重启时不会恢复，设备以标准的、不受限制的 Android 环境（启动器、网页浏览器、文件管理器、设置和其他系统应用程序）启动。 从这个不受限制的环境中，攻击者可以重新启用开发者选项/USB 调试，侧载任意 APK，并执行它以获取 live 操作系统的 shell。在测试中，这产生了 meterpreter 会话，以未特权应用用户 （与恢复模式 root 在 CVE-2026-36027 中不同，因为它在 live 引导的 OS 上运行，而不是恢复 ramdisk。代码植入并在该状态下执行，作为正常设备操作的一部分，赋予攻击者对设备和其用户可访问文件系统的交互式控制。 概念验证 1. 关闭设备。 2. 设备完全关闭后，同时按住电源和音量按钮，直到设备进入 Android 恢复菜单。 3. 突出显示 并确认擦除。 4. 设备重启后，kiosk 应用程序丢失，kiosk 模式不启动。这是因为 kiosk 应用程序安装在 userdata 分区而不是系统分区。恢复工厂重置会擦除 userdata，永久删除 kiosk 应用程序；由于它们不在系统分区中，它们在重启时不会恢复，kiosk 失败启动。 5. 攻击者面临不受限制的 Android 环境，包括网页浏览器、文件管理器、设置和其他系统应用程序。从这里，USB 调试可以启用，任意 APK 可以侧载和执行 - 在这种情况下产生 live OS 上的 Meterpreter 会话： ``` [] Sensing stage (72424 bytes) to 10.0.8.48 [] Meterpreter session 2 opened (10.0.0.224:49000 -> 10.0.0.48:58094) at 2026-02-20 19:06:47 -0500 meterpreter > getuid Server username: u0_a79 meterpreter > cd / meterpreter > ls Listing: / ================= Mode Size Type Last modified Name ---- ---- ---- ------------- ---- 040554/r-xr-xr-x 4096 dir 2008-12-31 19:00:03 -0500 acct 040554/r-xr-xr-x 480 dir 1969-12-31 19:00:03 -0500 apex 040110/r--x--x-- 8192 dir 2008-12-31 19:00:00 -0500 bin 000000/---------- 0 file 1969-12-31 19:00:00 -0500 bugreports 040000/---------- 4096 dir 1969-12-31 19:00:04 -0500 cache 040554/r-xr-xr-x 0 dir 1969-12-31 19:00:00 -0500 config 040554/r-xr-xr-x 0 dir 1969-12-31 19:00:00 -0500 data 040110/r--x--x-- 4096 dir 2026-02-03 01:27:34 -0500 data_mirror 040000/---------- 120 file 1969-12-31 19:00:04 -0500 data_mirror 040554/r-xr-xr-x 4096 dir 2008-12-31 19:00:00 -0500 debug_ramdisk 040554/r-xr-xr-x 1760 dir 2026-02-03 01:27:34 -0500 dev 040554/r-xr-xr-x 4096 dir 2008-12-31 19:00:00 -0500 etc 100554/r-xr-xr-x 1997584 file 2008-12-31 19:00:00 -0500 init 100000/---------- 463 file

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Code 27 3D Companion Hub 恢复模式ADB Root提权漏洞(CVE-2026-36027)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Code 27 3D Companion Hub 恢复模式ADB Root提权漏洞(CVE-2026-36027)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！