OnePlus 13 (OP5D0DL1) CVE-2026-64560

Adaptación específica para el dispositivo de la prueba de concepto de Android CVE-2026-64560 para las compilaciones exactas del OnePlus 13 (PJZ110) que se enumeran a continuación. Proporciona acceso root temporal para el arranque actual mediante un asistente que solo funciona a través de ADB-shell.

[!WARNING] Este es código de exploit de kernel experimental. Puede reiniciar el dispositivo, corromper el estado del kernel o causar pérdida de datos. Úsalo solo en un dispositivo que poseas o que estés explícitamente autorizado a probar. Haz una copia de seguridad de los datos importantes primero.

Objetivos compatibles

Este repositorio está dirigido a imágenes de kernel, y sus perfiles están dirigidos a huellas de compilación; una OTA puede cambiar una sin la otra. Ambas compilaciones a continuación incluyen el kernel idéntico byte a byte, por lo que comparten todos los offsets y solo difieren en la cadena de identificación del dispositivo. docs/BUILDS.md es el índice y el árbol de decisión para una nueva imagen — empieza por ahí.

El ejecutor rechaza una huella inesperada y verifica cada payload incluido antes de la ejecución. Este repositorio no contiene imágenes de firmware, claves de dispositivo ni secretos únicos del dispositivo.

Uso

Requisitos:

• Android Platform Tools con adb disponible en el PATH
• Depuración USB habilitada y autorizada
• un margen térmico: los intentos iniciados por encima de 55 °C fallan con mucha más frecuencia, y la campaña espera a que baje en lugar de confiar en la suerte

Desde la raíz del repositorio:

sh scripts/boot-campaign.sh -s <serial> -p bin/cve-2026-64560-fanout-op13-cp2a.260605.016 -n 10

Después de ROOT_SUCCESS, cualquier terminal nueva puede abrir el shell root temporal:

adb -s <serial> shell -T /data/local/tmp/su

Ejecuta id para verificar uid=0(root). El acceso dura solo para el arranque actual; vuelve a ejecutarlo después de un reinicio. No se modifica ninguna partición de arranque, de proveedor ni del sistema.

El exploit contiene una carrera de kernel probabilística. La cadena alcanza la etapa de puente de forma fiable y supera su puerta de lectura aproximadamente en uno de cada ocho arranques, por lo que una tanda de arranques vacía no es evidencia de que algo esté roto — presupuesta arranques, y consulta docs/BUILDS.md para ver el único contador que parece una señal de fallo y no lo es.

scripts/boot-campaign.sh es el bucle ejecutor en POSIX sh, para hosts donde el host de PowerShell para scripts/root.ps1 no está disponible. Ambos aplican las mismas puertas.

Compilación

Android NDK r29 y API 35 son los valores predeterminados para compilaciones reproducibles. El NDK no está presente por defecto, así que pasa su raíz:

.\scripts\build.ps1 -Profile profiles\op13\CP2A.260605.016.json -NdkRoot <path-to-ndk>

El script compila las estrategias del exploit y el asistente temporal-su, elimina los símbolos de los resultados y verifica sus valores SHA-256 fijados.

rotate se compila pero deliberadamente no se promueve: tumbó el kernel en este dispositivo y no se ha revalidado desde la recalibración del temporizador.

Portar a otra compilación

python tools/extract_image.py <boot.img> <out>   # compare the Image digest first
python tools/port_target.py --profile profiles/op13/<BUILD>.json

Todo lo que posee una compilación lleva el nombre de la compilación, por lo que dos compilaciones de un mismo dispositivo nunca colisionan. Consulta docs/BUILDS.md para el árbol de decisión y docs/PORTING.md para la lista de verificación completa.

Estructura del repositorio

Créditos

El framework de exploit que adapta este repositorio — las fuentes del exploit, las etapas de credenciales y restauración, el asistente temporal-su, la compilación reproducible, el ejecutor adaptativo y el conjunto de herramientas de portabilidad — proviene de la adaptación dada del Xiaomi 15:

• https://github.com/quyicheng03-boop/xiaomi15-dada-cve-2026-64560

Los offsets del OnePlus 13, el ajuste de la carrera y la validación aquí se midieron en este dispositivo en lugar de transferirse; los dos objetivos de kernel son imágenes diferentes, por lo que casi todas las direcciones difieren. El perfil y los payloads de dada se conservan como la referencia contra la que se validó originalmente el framework.

La prueba de concepto original, y la vulnerabilidad en sí, son anteriores a ambos:

• NebuSec/CyberMeowfia

Las revisiones exactas y las correcciones de Linux se enumeran en docs/UPSTREAM.md.

Licencia

Apache License 2.0, heredada del trabajo upstream. Consulta LICENSE y NOTICE.