Redmi K50 Gaming (ingres) — CVE-2026-43499 (GhostLock) Root مؤقت PoC

Root مؤقت بنقرة واحدة دون الحاجة إلى فتح الـ BL. يستغل سلسلة تصعيد الصلاحيات المحلية GhostLock (CVE-2026-43499, futex PI Use-After-Free) للحصول على نقطة ارتكاز root، ثم يقوم بتحميل وحدة kernelsu في النواة قيد التشغيل عبر أسلوب KernelSU 3.3.0 late-load، بالتعاون مع وحدة KSU للحفاظ على SELinux Permissive وإصلاح الشبكة.

الجهاز المستهدف: Redmi K50G / POCO F4 GT —— الاسم الرمزي ingres، SoC SM8450 (Snapdragon 8 Gen 1) النظام: Android 14، UKQ1.240624.001، النواة 5.10.209-android12 (KMI android12-5.10) الحالة: ✅ تم التحقق على جهاز فعلي من نجاح الروت المؤقت

1. وصف الملفات

الملف	الوظيفة
`exploit`	ثنائي رفع الصلاحيات GhostLock (ARM64 PIE، غير مُزال الرموز). يحتوي داخليًا على تحديد تصادم mm عبر KernelSnitch، وغطاء مكدس futex PI UAF، وروت مرتكز النواة، وsu daemon، و`libksud.so` المضمّن ومنطق التحميل المتأخر KSU
`Root-K50G.bat`	سكربت Windows بنقرة واحدة (يحدد الملفات من مجلد نفسه، يعمل بالنقر المزدوج): كشف الجهاز → دفع الملفات → تشغيل رفع الصلاحيات → الدخول مباشرة إلى root shell
`ksu_loader.sh`	يُنفَّذ من مرتكز النواة ذي صلاحية root: `libksud.so late-load --kmi 5.10.209-android12` لتحميل KernelSU، ثم إطلاق مراحل `post-fs-data` / `services` / `boot-completed` بالتتابع
`ksu-module/chuxin_permissive_netfix/`	وحدة KernelSU (module.prop + service.sh): تراقب `enforce=0` كل ثانيتين، وتعيد ضبط خصائص مقاومة العبث، وتعيد تشغيل netd، وتفعّل wifi/البيانات لإصلاح انقطاع الشبكة
`adb/`	أدوات adb مضمّنة (محمولة بدون تثبيت)
`adb驱动无需重启.exe`	أداة تثبيت تعريفات Xiaomi بنقرة واحدة

2. الطريقة الناجحة / سلسلة رفع الصلاحيات

تنقسم السلسلة كاملة إلى أربع خطوات:

إطلاق GhostLock UAF (CVE-2026-43499)
- طوبولوجيا futex PI الحلقية (FUTEX_WAIT_REQUEUE_PI + FUTEX_CMP_REQUEUE_PI) لإنشاء rt_mutex_waiter معلّق على مكدس النواة؛
- استخدام طابع مكدس النواة (مسارات sysctl وغيرها) لكتابة حقول waiter المزوّرة فوق الموقع المحرَّر؛
- خيط المستهلك يطلق rt_mutex_adjust_prio_chain للمرور، فيُحصل على أوليّات قراءة/كتابة للنواة تحت السيطرة.
روت مرتكز النواة
- حقن cred عبر أولية الكتابة (uid/gid=0، caps كاملة، kernel SID)، للحصول على عملية مرتكز root (anchor: ROOT uid=0 في سجل التشغيل)؛
- داخل المرتكز يتم fork: root shell (SHELL_ROOT=1) وsu daemon (SU_DAEMON=1، /data/local/tmp/su).
التحميل المتأخر لـ KernelSU
- تُحمَّل وحدة النواة kernelsu.ko عبر libksud.so late-load --kmi 5.10.209-android12 في النواة قيد التشغيل (دون تفليش/ترقيع صورة boot، وبمطابقة دقيقة لـ KMI الحالي للجهاز)؛
- ينفّذ ksu_loader.sh بالتتابع post-fs-data وservices وboot-completed، ليُقلع إطار إدارة KernelSU (ksud) بشكل طبيعي.
الحفاظ على Permissive + إصلاح الشبكة
- تُثبَّت وحدة KSU chuxin_permissive_netfix في /data/adb/modules/: تعمل خدمتها في نطاق ksu (تملك صلاحية security:setenforce)، وتعيد كتابة enforce إلى 0 كل ثانيتين، لتعويض سلوك ksud الذي يعيد SELinux إلى Enforcing بعد boot-completed (لمنع رفض AVC لمقبس su + انقطاع الشبكة)؛
- بعد ~10 ثوانٍ من أول إقلاع تُعاد ضبط خصائص ro.boot.flash.locked / verifiedbootstate / خانة الضمان ويُعاد تشغيل netd، لإصلاح الشبكة بعد الروت.

3. طريقة الاستخدام

الطريقة A: Windows بنقرة واحدة (موصى بها)

فعّل خيارات المطوّر + تصحيح USB على الهاتف، ووصّله بالحاسوب؛
انقر نقرًا مزدوجًا على Root-K50G.bat؛
اسمح بتفويض تصحيح USB على الهاتف حسب التعليمات؛
يستغرق رفع الصلاحيات نحو 1~3 دقائق، وبعد الانتهاء تتحول جلسة adb الحالية مباشرة إلى root shell، أدخل id للتحقق من uid=0(root)؛
يمكنك أيضًا التحقق عبر /data/local/tmp/su -c id.

الطريقة B: adb يدويًا

adb push exploit /data/local/tmp/exploit
adb push ksu_loader.sh /data/local/tmp/ksu_loader.sh
adb shell chmod 755 /data/local/tmp/exploit /data/local/tmp/ksu_loader.sh

adb shell "env NO_COLOR=1 SE_LINUX=1 KSU_LOADER=1 SHELL_ROOT=1 SU_DAEMON=1 SUSPECT_CPU=99999 KS_MAX_TRIES=8 /data/local/tmp/exploit"

بعد انتهاء التشغيل، تحقق من:

adb shell /data/local/tmp/su -c id
# uid=0(root) gid=0(root) ...

4. متغيرات البيئة

المتغير	الافتراضي	المعنى
`NO_COLOR`	0	تعطيل السجلات الملوّنة
`SE_LINUX`	0	تفعيل تبديل SELinux إلى Permissive (الكتابة المباشرة لـ enforce عبر نقطة ارتكاز النواة)
`KSU_LOADER`	0	تنفيذ `ksu_loader.sh` داخل نقطة ارتكاز root (التحميل المتأخر لـ KernelSU)
`SHELL_ROOT`	0	إنشاء fork لصدفة root داخل نقطة الارتكاز
`SU_DAEMON`	0	تشغيل خادم `/data/local/tmp/su` داخل نقطة الارتكاز
`SUSPECT_CPU`	-	تحديد وحدة المعالجة المركزية المشتبه بها (ربط نقطة الارتكاز)، وتعني `99999` الاختيار التلقائي
`KS_MAX_TRIES`	-	الحد الأقصى لمحاولات تصادم mm/نقطة الارتكاز في KernelSnitch

5. ملاحظات

معالجة انقطاع الشبكة: عند انقطاع الشبكة بسبب إعادة KSU للوضع إلى Enforcing، يقوم service.sh في وحدة chuxin_permissive_netfix تلقائيًا بإعادة تعيين الخصائص وإعادة تشغيل netd (وهو فعّال أيضًا بعد تثبيت وحدات مثل LSPosed)؛
صلاحيات Root مؤقتة: تزول بعد إعادة التشغيل، ويلزم إعادة تشغيل عملية رفع الصلاحيات؛ ويتم استعادة تسامح SELinux تلقائيًا بواسطة وحدة KSU بعد الإقلاع؛
لا يتطلب هذا الحل فتح Bootloader، ولا يتطلب تثبيت روم.

6. إخلاء المسؤولية

محتوى هذا المستودع مخصص للبحوث الأمنية واختبار الأجهزة الشخصية فقط. ينطوي رفع الصلاحيات/تعديل حالة النظام على مخاطر معينة، وقد يؤدي التعامل غير السليم إلى تعطّل الجهاز أو فقدان البيانات. يُرجى استخدامه فقط بعد الفهم الكامل للمبدأ وتحمل المسؤولية عن العواقب، وعدم استخدامه لأغراض غير قانونية.

المرجع: CVE-2026-43499 (GhostLock) —— ثغرة UAF في وراثة الأولوية في futex بنواة Linux، تؤثر على النوى من 2.6.39 إلى 7.1، وتتيح رفع الصلاحيات محليًا.

الأكثر شعبية

K50G-POCOF4GT-CVE-2026-43499-PoC