جذر نواة TB320FC — CVE-2025-21479

English | 简体中文

تصعيد صلاحيات النواة في الذاكرة لجهاز Lenovo Legion Y700 2023 (TB320FC)، باستغلال CVE-2025-21479 (ثغرة Qualcomm Adreno GPU SMMU)، مع إدارة جذر كاملة يوفرها ReSukiSU.

لا فتح قفل الـ bootloader. لا تفليش. لا حاجة لجهاز كمبيوتر للتفعيل.

⚠️ لأبحاث الأمن المصرّح بها على الأجهزة التي تملكها. راجع إخلاء المسؤولية.

الجهاز المستهدف

جميع الإزاحات (offsets) والسلوك في هذا المشروع مضبوطة للجهاز التالي. لا تتوقع أن يعمل على موديلات/رومات أخرى دون إعادة الضبط (راجع exploit/device_info.txt).

تم التحقق من عمله اعتبارًا من 2026-09 على الفيرموير أعلاه.

الميزات

لقطات الشاشة

RootActivator (مفعّل)	ReSukiSU (يعمل، وحدتان)

يسار: RootActivator بعد تفعيل ناجح — SELinux Enforcing، kernelsu محمّل، su متاح. يمين: مدير ReSukiSU — وضع LKM يعمل مع وحدتين (NeoZygisk + Vector).

كيف يعمل

RootActivator APK
   │
   ├─ libcheese.so ── KGSL SMMU exploit (CVE-2025-21479)
   │     1. Adreno 730 microcode access-check flaw (SDS packet mistaken for RingBuffer)
   │     2. Fake CP_SMMU_TABLE_UPDATE overwrites GPU TTBR0 → arbitrary physical R/W
   │     3. Zero selinux_state.enforcing; dump kernel from fixed PA 0xA8000000,
   │        parse kallsyms from the raw image (SM8475 has no physical KASLR)
   │     4. Patch __do_sys_capset with an escalation shellcode
   │        (prepare_kernel_cred(0) + commit_creds + clear TIF_SECCOMP);
   │        forked child calls capset() → uid 0 + full caps
   │
   └─ libksud.so (ReSukiSU) ── late-load mode
         1. kernelsu.ko loaded from ksud's embedded assets with manual relocation
            (does not rely on kernel symbol exports)
         2. install → /data/adb/ksu (ksud/busybox/bootctl)
         3. su channel online: /system/bin/su → kernel hook redirect → u:r:ksu:s0
         4. setenforce 1 — Enforcing restored, policy rules already injected by the ko

نقاط هندسية بارزة

• Qualcomm GKI تقلّص صادرات رموز النواة. 77 رمزًا مطلوبًا من KernelSU الأصلي مفقودة، لذا يفشل insmod kernelsu.ko العادي. وضع late-load في ReSukiSU يحل الرموز بنفسه ويُحمّل بنجاح.
• إصلاح ارتباط CPU في cheese. مع وجود عدة أنوية، يمكن تنفيذ نص النواة المُرقّع بتعليمات قديمة على نواة أخرى (تماسك I-cache)، مما يسبب panic. تثبيت العملية على نواة واحدة يجعل الاستغلال أكثر موثوقية بكثير.
• حساسية الحمل. خلال عاصفة التهيئة بعد الإقلاع (5-10 دقائق) يكون معدل الفشل أعلى بشكل ملحوظ. راجع docs/TROUBLESHOOTING.md.

البدء السريع

1. احصل على RootActivator

ابنِ من المصدر (راجع البناء) أو نزّل الـ APK من صفحة GitHub Releases (غير مخزّن في المستودع).

2. ثبّت مدير ReSukiSU

نزّله من ReSukiSU Releases وثبّت ملف APK الخاص بالمدير.

3. فعّل

1. بعد الإقلاع، انتظر 5-10 دقائق (تكتشف الأداة حمل النظام تلقائيًا وتنتظر إذا لزم الأمر)
2. افتح RootActivator → اضغط Activate Root
3. انتظر 3-4 دقائق (يظهر التقدم في السجل المدمج)
4. عند الانتهاء، افتح مدير ReSukiSU وامنح صلاحية الجذر لتطبيقاتك (Shizuku، الطرفيات، ...)

4. (اختياري) دعم وحدات Xposed

1. ثبّت NeoZygisk (عبر مدير ReSukiSU → Modules → install from storage)
2. ثبّت Vector (إطار Xposed)
3. بعد تفعيل الجذر، شغّل أداة الحقن على الجهاز (التفعيل لا يفعل ذلك):
   root@kitploit:~

   su -c 'sh /data/adb/modules/zygisksu/post-fs-data.sh'
   

4. التفاصيل في docs/VECTOR.md

هيكل المستودع

├── LICENSE / CHANGELOG.md
├── README.md / README.zh-CN.md
├── exploit/            cheese exploit (CVE-2025-21479, ported to TB320FC)
│   ├── source/         cheese.c / kallsyms_lookup.c / adrenaline.h
│   ├── device_info.txt Target device parameters (offsets, verified facts)
│   └── build.sh        Build script (requires Android NDK)
├── app/                RootActivator (Kotlin, hand-rolled build, no Gradle)
│   ├── src/            MainActivity.kt (single file, code-only UI)
│   ├── res/            launcher icon (mipmap-xxxhdpi)
│   ├── AndroidManifest.xml
│   ├── debug.keystore  debug signing key used by the public APK
│   ├── build.py        Build script (kotlinc + d8 + aapt2 + apksigner)
│   └── README.md       App documentation
├── tools/              Helper scripts
│   ├── fetch_assets.py         Host: prepare native assets (exploit + ksud)
│   ├── neozygisk_setup.sh      On-device: NeoZygisk + Vector (see VECTOR.md)
│   ├── status_check.sh         On-device: root / module snapshot
│   └── check_mods.sh           On-device: module inspection helper
├── docs/               Documentation (English)
│   ├── ARCHITECTURE.md         Deep dive into both chains
│   ├── TROUBLESHOOTING.md      Failure handling, success-rate data
│   └── VECTOR.md               Xposed (NeoZygisk + Vector) setup
└── screenshots/        On-device PNG evidence

البناء

exploit (Android NDK)

cd exploit
NDK=/path/to/android-ndk ./build.sh
# Produces ./cheese (arm64) → used as app/native/libcheese.so

RootActivator APK

cd app
python ../tools/fetch_assets.py    # prepare native assets
python build.py                    # requires kotlinc + Android build-tools
# Produces RootActivator.apk

متغيرات البيئة التي يقبلها البناء (راجع app/build.py للتفاصيل): KOTLIN_HOME, ANDROID_BUILD_TOOLS, ANDROID_JAR, KEYSTORE, JAVA_HOME. يحتاج fetch_assets.py إضافةً إلى ذلك إلى RESUKISU_APK (مسار إلى ReSukiSU arm64 APK) لاستخراج libksud.so.

القيود

• يلزم إعادة التفعيل بعد كل إعادة تشغيل (نهج في الذاكرة، لا شيء يستمر)
• معدل فشل التفعيل ~20-40% (متأصل في الاستغلال؛ الفشل يعيد تشغيل الجهاز دون فقدان بيانات — أعد المحاولة فقط)
• adb root غير متاح (adbd cannot run as root in production builds)
• يتطلب Xposed وجود NeoZygisk؛ لا تستخدم أبدًا ksud soft-reboot — فهو يعلّق النظام (استخدم حقن ptrace من NeoZygisk بدلًا من ذلك)

إخلاء المسؤولية

يُقدَّم هذا المشروع لأغراض أبحاث الأمن والتعليم فقط، وفقط للأجهزة التي تملكها أو مصرّح لك صراحةً باختبارها. أنت وحدك مسؤول عن أي عواقب وتداعيات قانونية. قد يعيد الاستغلال تشغيل الجهاز؛ وفي حالات نادرة يكون فقدان البيانات ممكنًا — انسخ بياناتك المهمة احتياطيًا أولًا.

الشكر

• zhuowei/cheese — استغلال CVE-2025-21479 الأصلي (Zhuowei Zhang)
• ReSukiSU — فرع KernelSU مع وضع late-load
• NeoZygisk — حقن zygote بـ ptrace
• Vector — إطار Xposed
• hawkes — adrenaline.h (تعريفات أوامر KGSL)

الترخيص

MIT