GhostLock 5.10

Dies ist ein Kernel-Root-Exploit für das Amazon Fire Max 11 (sunstone) und den Fire TV Stick 4K Max 2. Generation / 2023 (karat), adaptiert von CVE-2026-43499 aus CyberMeowfia.

Unterstützte Geräte

Zwei Geräte werden unterstützt, beide mit Fire OS 8. Jedes hat sein eigenes Build-Ziel.

Fire Max 11 (sunstone)

Fire TV Stick 4K Max 2. Generation (karat)

Kompilieren

Erfordert GNU Make und Android NDK r29.

make                 # Fire Max 11 (sunstone), die Standardeinstellung
make PROJECT=karat   # Fire TV Stick 4K Max 2. Generation

Oder erstelle ein verteilbares Zip, das alles für dich übernimmt:

./makedist.sh                 # sunstone
PROJECT=karat ./makedist.sh   # karat

Das Ergebnis wird nach dist/ghostlock-<project>-v<version>.zip geschrieben, wobei die Version aus der Datei VERSION stammt (überschreibbar mit VERSION=x.y.z ./makedist.sh).

Verwendung

./root.sh

Unter Windows führe root.bat aus.

Das Skript startet das Gerät neu, führt den Exploit aus und bringt dich nach Abschluss in eine Root-Shell. Wenn es fehlschlägt, wird automatisch bis zu 8 Mal erneut versucht.

Wenn das Gerät über USB angeschlossen ist, deaktiviert das Skript bei jedem Versuch auch Wi-Fi, was den Exploit deutlich zuverlässiger macht.

Bei Erfolg siehst du eine Root-Shell-Eingabeaufforderung wie diese:

root@sunstone:/ #

Auf neueren Versionen von Fire OS hat Amazon KASLR hinzugefügt, daher kann es einige Minuten dauern, bis alles vollständig läuft. Sei geduldig. Sobald es läuft, funktioniert su von jeder adb shell aus bis zum nächsten Neustart.

Es gibt auch eine Bind-Shell auf 127.0.0.1:9999, die so lange offen gehalten wird, wie Root aktiv ist. Der einfachste Weg hinein ist, nc direkt auf dem Gerät auszuführen:

adb shell -t "nc 127.0.0.1 9999"

Oder leite den Port weiter und verbinde dich vom Host aus:

adb forward tcp:9999 tcp:9999
stty raw -echo; nc 127.0.0.1 9999; stty sane

[!CAUTION] Solange du Root bist, verwendet dein Gerät weiterhin dm-verity, daher führt jede Änderung an den System-/Vendor-/etc.-Partitionen zu einem Brick.

Auch die Beschädigung kritischer Partitionen wie LK, TEE oder Preloader führt zu einem Brick. Verwende diesen Exploit auf eigenes Risiko.

LM-Shell

Auf dem Fire TV Stick wird eine zweite reine Root-Shell auf 127.0.0.1:9060 für Launcher Manager geöffnet.

LM startet normalerweise seine eigene als Systembenutzer, nutzt den Port aber wieder, wenn er bereits offen ist. Wenn der Exploit also 9060 mit einer Root-Shell belegt, sollte LM stattdessen als Root arbeiten.

Führe zuerst den Exploit aus, damit er den Port beansprucht, und starte dann LM (neu).

OTAs

OTA-Updates werden automatisch deaktiviert, sobald Root erfolgreich ist. Ein einziges OTA kann dich auf ein Build bringen, das hier nicht unterstützt wird oder den Exploit behebt.

Die genauen Pakete unterscheiden sich zwischen dem Tablet und dem Fire TV Stick; der Exploit wählt basierend auf dem Gerät den richtigen Satz aus. Achte auf OTA: pm ... ok-Zeilen in der Ausgabe, um dies zu bestätigen.

Wenn ein Schritt not applied meldet, führe ihn selbst aus der Root-Shell aus.

Auf dem Fire Max 11 (sunstone):

pm disable com.amazon.device.software.ota
pm disable com.amazon.kindle.otter.oobe.forced.ota
sync

Auf dem Fire TV Stick (karat):

pm disable com.amazon.device.software.ota
pm clear com.amazon.device.software.ota
pm disable com.amazon.device.software.ota.override
pm disable-user com.amazon.sneakpeek
pm disable com.amazon.client.metrics
sync

Dies übersteht Neustarts, aber keinen Factory Reset. Zum erneuten Aktivieren führe pm enable (oder pm enable-user) für dieselben Pakete aus einer Root-Shell aus.

Danksagungen

• CyberMeowfia: ursprünglicher IonStack-Exploit (CVE-2026-43499)
• IonStackQuest3: erster öffentlicher Port für 5.10-Kernel
• Pro-me3us: Sammlung der karat-Firmware-URLs
• sweenwolf: Launcher Manager, verwendet auf FTVs