Redmi K50 Gaming (ingres) — CVE-2026-43499 (GhostLock) Temporärer Root-PoC

Root ohne BL-Entsperrung per Ein-Klick. Nutzt die GhostLock (CVE-2026-43499, futex PI Use-After-Free)-Lokale-Privilegieneskalationskette, um einen Root-Anker zu erhalten, lädt anschließend das kernelsu-Modul per KernelSU 3.2.5 late-load in den laufenden Kernel und hält mit dem KSU-Modul SELinux Permissive aufrecht und repariert das Netzwerk.

Zielgerät: Redmi K50G / POCO F4 GT — Codename ingres, SoC SM8450 (Snapdragon 8 Gen 1) System: Android 14, UKQ1.240624.001, Kernel 5.10.209-android12 (KMI android12-5.10) Status: ✅ Temporärer Root auf echter Hardware verifiziert

1. Dateibeschreibung

2. Erfolgsmethode / Eskalationskette

Die gesamte Kette besteht aus vier Schritten:

1. GhostLock-UAF-Auslösung (CVE-2026-43499)
   • futex-PI-Ringtopologie (FUTEX_WAIT_REQUEUE_PI + FUTEX_CMP_REQUEUE_PI) erzeugt einen hängenden rt_mutex_waiter auf dem Kernel-Stack;
   • Mit Kernel-Stack-Stamps (sysctl-Pfade usw.) werden die gefälschten Waiter-Felder an die freigegebene Stelle überschrieben;
   • Ein Consumer-Thread löst rt_mutex_adjust_prio_chain aus und erhält kontrollierte Kernel-Lese-/Schreib-Primitive.
2. Kernel-Anker-Root
   • Über die Schreib-Primitive wird cred injiziert (uid/gid=0, volle Caps, Kernel-SID), wodurch ein Root-Ankerprozess entsteht (im Log: anchor: ROOT uid=0);
   • Innerhalb des Ankers werden geforkt: Root-Shell (SHELL_ROOT=1) und su-Daemon (SU_DAEMON=1, /data/local/tmp/su).
3. KernelSU late-load
   • Das Kernelmodul kernelsu.ko wird über in den laufenden Kernel geladen (kein Flashen/Patching des Boot-Images nötig, exakte Übereinstimmung mit dem aktuellen KMI des Geräts);

3. Verwendung

Methode A: Windows-Ein-Klick (empfohlen)

1. Entwickleroptionen + USB-Debugging auf dem Telefon aktivieren und mit dem PC verbinden;
2. Root-K50G.bat per Doppelklick ausführen;
3. Auf dem Telefon die USB-Debugging-Autorisierung erlauben;
4. Die Eskalation dauert ca. 1–3 Minuten; danach wird die aktuelle adb-Sitzung direkt zur Root-Shell; mit id uid=0(root) verifizieren;
5. Alternativ mit /data/local/tmp/su -c id verifizieren.

Methode B: Manuell per adb

adb push exploit /data/local/tmp/exploit
adb push ksu_loader.sh /data/local/tmp/ksu_loader.sh
adb shell chmod 755 /data/local/tmp/exploit /data/local/tmp/ksu_loader.sh

adb shell "env NO_COLOR=1 SE_LINUX=1 KSU_LOADER=1 SHELL_ROOT=1 SU_DAEMON=1 SUSPECT_CPU=99999 KS_MAX_TRIES=8 /data/local/tmp/exploit"

Nach Abschluss verifizieren:

adb shell /data/local/tmp/su -c id
# uid=0(root) gid=0(root) ...

4. Umgebungsvariablen

5. Hinweise

• Netzwerkausfall-Behandlung: Wenn KSU auf Enforcing zurückschaltet und Netzwerkausfälle verursacht, setzt service.sh des Moduls chuxin_permissive_netfix automatisch die Attribute zurück und startet netd neu (funktioniert auch nach dem Flashen von Modulen wie LSPosed);
• Root ist temporär: Nach einem Neustart verfällt er und die Eskalation muss erneut ausgeführt werden; SELinux-Permissive wird vom KSU-Modul nach dem Start automatisch wiederhergestellt;
• Diese Lösung erfordert weder eine Bootloader-Entsperrung noch ein Flashen.

6. Haftungsausschluss

Der Inhalt dieses Repositories dient ausschließlich der Sicherheitsforschung und dem Testen eigener Geräte. Privilegieneskalation/Systemänderungen bergen gewisse Risiken; unsachgemäße Handhabung kann zu einem Brick des Geräts oder Datenverlust führen. Bitte nur verwenden, wenn Sie das Prinzip vollständig verstehen und die Konsequenzen selbst tragen; nicht für illegale Zwecke verwenden.

Referenz: CVE-2026-43499 (GhostLock) — Linux-Kernel-futex-Prioritätsvererbungs-UAF, betrifft Kernel 2.6.39 ~ 7.1, ermöglicht lokale Privilegieneskalation.