TB320FC Kernel Root — CVE-2025-21479

English | 简体中文

In-Memory-Kernel-Privilegieneskalation für das Lenovo Legion Y700 2023 (TB320FC), die CVE-2025-21479 (Qualcomm Adreno GPU SMMU-Schwachstelle) ausnutzt, mit vollständiger Root-Verwaltung durch ReSukiSU.

Kein Bootloader-Unlock. Kein Flashen. Kein PC erforderlich für die Aktivierung.

⚠️ Für autorisierte Sicherheitsforschung an Geräten, die Ihnen gehören. Siehe Haftungsausschluss.

Zielgerät

Alle Offsets und Verhaltensweisen in diesem Projekt sind auf das folgende Gerät abgestimmt. Erwarten Sie nicht, dass es ohne Neuanpassung auf anderen Modellen/ROMs funktioniert (siehe exploit/device_info.txt).

Verifiziert funktionsfähig ab 2026-09 auf der oben genannten Firmware.

Funktionen

Screenshots

RootActivator (aktiviert)	ReSukiSU (funktionierend, 2 Module)

Links: RootActivator nach erfolgreicher Aktivierung — SELinux Enforcing, kernelsu geladen, su verfügbar. Rechts: ReSukiSU-Manager — LKM-Modus funktioniert mit 2 Modulen (NeoZygisk + Vector).

Funktionsweise

RootActivator APK
   │
   ├─ libcheese.so ── KGSL SMMU exploit (CVE-2025-21479)
   │     1. Adreno 730 microcode access-check flaw (SDS packet mistaken for RingBuffer)
   │     2. Fake CP_SMMU_TABLE_UPDATE overwrites GPU TTBR0 → arbitrary physical R/W
   │     3. Zero selinux_state.enforcing; dump kernel from fixed PA 0xA8000000,
   │        parse kallsyms from the raw image (SM8475 has no physical KASLR)
   │     4. Patch __do_sys_capset with an escalation shellcode
   │        (prepare_kernel_cred(0) + commit_creds + clear TIF_SECCOMP);
   │        forked child calls capset() → uid 0 + full caps
   │
   └─ libksud.so (ReSukiSU) ── late-load mode
         1. kernelsu.ko loaded from ksud's embedded assets with manual relocation
            (does not rely on kernel symbol exports)
         2. install → /data/adb/ksu (ksud/busybox/bootctl)
         3. su channel online: /system/bin/su → kernel hook redirect → u:r:ksu:s0
         4. setenforce 1 — Enforcing restored, policy rules already injected by the ko

Bemerkenswerte technische Punkte

• Qualcomm GKI entfernt Kernel-Symbol-Exporte. 77 von Upstream-KernelSU benötigte Symbole fehlen, daher schlägt ein einfaches insmod kernelsu.ko fehl. Der Late-Load von ReSukiSU löst Symbole selbst auf und lädt problemlos.
• CPU-Affinitäts-Fix in cheese. Bei mehreren Kernen kann gepatchter Kernel-Text mit veralteten Instruktionen auf einem anderen Kern ausgeführt werden (I-Cache-Kohärenz), was zu einem Panic führt. Das Anheften des Prozesses an einen Kern macht den Exploit deutlich zuverlässiger.
• Lastempfindlichkeit. Während des Initialisierungssturms nach dem Boot (5-10 Min.) ist die Fehlerrate deutlich höher. Siehe docs/TROUBLESHOOTING.md.

Schnellstart

1. RootActivator besorgen

Aus dem Quellcode bauen (siehe Bauen) oder die APK von der GitHub-Releases-Seite herunterladen (nicht im Repo gespeichert).

2. ReSukiSU-Manager installieren

Von ReSukiSU Releases herunterladen und die Manager-APK installieren.

3. Aktivieren

1. Nach dem Boot 5-10 Minuten warten (das Tool erkennt die Systemlast automatisch und wartet bei Bedarf)
2. RootActivator öffnen → Activate Root antippen
3. 3-4 Minuten warten (Fortschritt wird im integrierten Log angezeigt)
4. Wenn fertig, den ReSukiSU-Manager öffnen und Ihren Apps Root gewähren (Shizuku, Terminals, ...)

4. (Optional) Xposed-Modul-Unterstützung

1. NeoZygisk installieren (über ReSukiSU-Manager → Module → aus Speicher installieren)
2. Vector installieren (Xposed-Framework)
3. Nachdem Root aktiv ist, den Injector auf dem Gerät starten (die Aktivierung erledigt das nicht):
   root@kitploit:~

   su -c 'sh /data/adb/modules/zygisksu/post-fs-data.sh'
   

4. Details in docs/VECTOR.md

Repository-Struktur

├── LICENSE / CHANGELOG.md
├── README.md / README.zh-CN.md
├── exploit/            cheese exploit (CVE-2025-21479, ported to TB320FC)
│   ├── source/         cheese.c / kallsyms_lookup.c / adrenaline.h
│   ├── device_info.txt Target device parameters (offsets, verified facts)
│   └── build.sh        Build script (requires Android NDK)
├── app/                RootActivator (Kotlin, hand-rolled build, no Gradle)
│   ├── src/            MainActivity.kt (single file, code-only UI)
│   ├── res/            launcher icon (mipmap-xxxhdpi)
│   ├── AndroidManifest.xml
│   ├── debug.keystore  debug signing key used by the public APK
│   ├── build.py        Build script (kotlinc + d8 + aapt2 + apksigner)
│   └── README.md       App documentation
├── tools/              Helper scripts
│   ├── fetch_assets.py         Host: prepare native assets (exploit + ksud)
│   ├── neozygisk_setup.sh      On-device: NeoZygisk + Vector (see VECTOR.md)
│   ├── status_check.sh         On-device: root / module snapshot
│   └── check_mods.sh           On-device: module inspection helper
├── docs/               Documentation (English)
│   ├── ARCHITECTURE.md         Deep dive into both chains
│   ├── TROUBLESHOOTING.md      Failure handling, success-rate data
│   └── VECTOR.md               Xposed (NeoZygisk + Vector) setup
└── screenshots/        On-device PNG evidence

Bauen

exploit (Android NDK)

cd exploit
NDK=/path/to/android-ndk ./build.sh
# Produces ./cheese (arm64) → used as app/native/libcheese.so

RootActivator APK

cd app
python ../tools/fetch_assets.py    # prepare native assets
python build.py                    # requires kotlinc + Android build-tools
# Produces RootActivator.apk

Vom Build akzeptierte Umgebungsvariablen (Details siehe app/build.py): KOTLIN_HOME, ANDROID_BUILD_TOOLS, ANDROID_JAR, KEYSTORE, JAVA_HOME. fetch_assets.py benötigt zusätzlich RESUKISU_APK (Pfad zu einer ReSukiSU-arm64-APK), um libksud.so zu extrahieren.

Einschränkungen

• Reaktivierung nach jedem Neustart erforderlich (In-Memory-Ansatz, nichts bleibt erhalten)
• ~20-40% Aktivierungsfehlerrate (dem Exploit inhärent; ein Fehler startet das Gerät neu, ohne Datenverlust — einfach erneut versuchen)
• adb root ist nicht verfügbar (adbd cannot run as root in production builds)
• Xposed erfordert NeoZygisk; niemals ksud soft-reboot verwenden — es hängt das System auf (stattdessen die ptrace-Injection von NeoZygisk verwenden)

Haftungsausschluss

Dieses Projekt wird ausschließlich für Sicherheitsforschung und Bildungszwecke bereitgestellt, und nur für Geräte, die Sie besitzen oder für die Sie ausdrücklich autorisiert sind, Tests durchzuführen. Sie sind allein verantwortlich für jegliche Konsequenzen und rechtlichen Auswirkungen. Der Exploit kann das Gerät neu starten; in seltenen Fällen ist Datenverlust möglich — sichern Sie zuerst wichtige Daten.

Danksagungen

• zhuowei/cheese — ursprünglicher CVE-2025-21479-Exploit (Zhuowei Zhang)
• ReSukiSU — KernelSU-Fork mit Late-Load-Modus
• NeoZygisk — ptrace-Zygote-Injection
• Vector — Xposed-Framework
• hawkes — adrenaline.h (KGSL-Kommando-Definitionen)

Lizenz

MIT