aniketlab/poco-m7-plus-jailbreakInvestigación de root temporal en Poco M7 Plus (SM6375) mediante el exploit Qualcomm GBL (CVE-2026-24088) + Análisis del kernel GhostLock (CVE-2026-43499)
Descargo de responsabilidad: Este documento está escrito únicamente con fines educativos y de investigación de seguridad. Todas las pruebas se realizaron en mi propio dispositivo. No me hago responsable de dispositivos inutilizados, pérdida de datos o uso indebido de esta información. Las vulnerabilidades aquí tratadas están ya divulgadas públicamente y parcheadas. No intentes esto en dispositivos que no sean de tu propiedad.
| Archivo | Descripción |
|---|---|
| GBL-AutoRoot.bat | Herramienta de automatización del exploit con un solo clic (Windows) |
Cómo usar:
GBL-AutoRoot.bat desde el enlace de arribaCompatible con cualquier dispositivo Qualcomm ABL afectado por CVE-2026-24088. Si tu dispositivo devuelve
OKAY, el acceso root se concede automáticamente.
Esta herramienta se dirige a la vulnerabilidad de Qualcomm ABL (CVE-2026-24088). Si tu dispositivo tiene un SoC vulnerable y aún no ha recibido el firmware parcheado, esta herramienta funcionará.
| Estado | Dispositivo / Familia de SoC | Dispositivos de ejemplo |
|---|---|---|
| ✅ Confirmado | Snapdragon 695 (SM6375) | POCO M7 Plus 5G, Redmi 15 5G |
| ⚠️ Potencial | Snapdragon 8 Gen 3 (SM8650) | Xiaomi 14 / Pro / Ultra, Redmi K70 Pro |
| ⚠️ Potencial | Snapdragon 8 Gen 2 (SM8550) | Xiaomi 13 / Pro, POCO F5 Pro, Redmi K60 Pro |
| ⚠️ Potencial | Snapdragon 8+ Gen 1 (SM8475) | Xiaomi 12T Pro, POCO F5 |
| ⚠️ Potencial | Snapdragon 888 (SM8350) | Mi 11, Mi 11X Pro, POCO F3 |
| ⚠️ Potencial | Snapdragon 7+ Gen 3 (SM7675) | POCO F6 |
| ⚠️ Potencial | Snapdragon 7 Gen 3 (SM7550) | Xiaomi Civi 4 |
| ⚠️ Potencial | Snapdragon 695 5G (SM6375) | POCO X4 Pro 5G, Redmi Note 11 Pro 5G |
| ⚠️ Potencial | Snapdragon 680 (SM6225) | Redmi Note 11, Redmi 10C |
| ⚠️ Potencial | Snapdragon 662 (SM6115) | POCO M3, Redmi 9T |
| ❌ Sin soporte | MediaTek (MTK) | POCO X6 Neo, Redmi Note 13 Pro+ |
| ❌ Sin soporte | Firmware parcheado | HyperOS 3.0.304.0+ (parche de seguridad aplicado) |
📢 Se requiere prueba de la comunidad: No tengo todos estos dispositivos disponibles para probar. Si tienes uno de los dispositivos "Potencialmente compatibles", prueba la herramienta e infórmame de los resultados. ¡Esto me ayudará a confirmar y añadir oficialmente tu dispositivo a la lista de "Confirmados funcionando"!
| Campo | Valor |
|---|---|
| Dispositivo | Poco M7 Plus 5G (nombre en clave: spring) |
| Chipset | Qualcomm SM6375 (Snapdragon 6s Gen 3) |
| Arquitectura | AArch64, KASLR habilitado |
| SELinux | Enforcing (antes del exploit) |
| Bootloader | BLOQUEADO |
| Plataforma de prueba | Windows 11, ADB Platform Tools |
| Versión de HyperOS | Versión del kernel | Resultado de GhostLock | Resultado del exploit GBL |
|---|---|---|---|
| 2.0.202.0 | 6.1.118-android14-11-ga3b9c44908dd-ab13320413 | ❌ Kernel Panic | ✅ Funciona |
| 2.0.208.0 | 6.1.138-android14-11-g51f8c580613d-ab13911623 | ❌ Kernel Panic | ✅ Funciona |
Nota de investigación: Inicialmente probé en HyperOS 2.0.202.0, donde GhostLock provocó un kernel panic. Luego actualicé a 2.0.208.0 para comprobar si la compilación más reciente del kernel (6.1.118 -> 6.1.138) resolvería la inestabilidad de GhostLock. El pánico persistió: ambas compilaciones comparten la misma estructura interna de
pselect/fd_setde la versión 6.1 que GhostLock no puede manejar. El exploit GBL funcionó en ambas versiones.
Durante esta investigación, probé dos rutas de exploit independientes para lograr root temporal en este dispositivo sin desbloquear el bootloader:
| Enfoque A: Exploit GBL | Enfoque B: GhostLock | |
|---|---|---|
| Capa | Bootloader (ABL/fastboot) | Kernel (Linux 6.1) |
| CVE | CVE-2026-24088 | CVE-2026-43499 |
| Resultado en este dispositivo | ✅ Funciona | ❌ Kernel Panic |
| Tipo de root | Temporal (con cable) | Temporal (con cable) |
| ¿Requiere ADB? | Sí (modo fastboot) | Sí (acceso a shell) |
| ¿Sensible a la versión del kernel? | No | Sí; solo estable en 6.6-6.12 |
El exploit GBL funcionó. GhostLock falló con un kernel panic debido a una incompatibilidad de versión del kernel. Ambos hallazgos se documentan en detalle a continuación.
CVE-2026-24088 afecta al Android Boot Loader (ABL) de Qualcomm en múltiples dispositivos.
Jan 2026 -> Vulnerability discovered during ABL unpacking & analysis
Feb 2026 -> Qualcomm patches: QcomModulePkg: Fix propagation of untrusted input into kernel cmdline
Mar 2026 -> Public PoC released; Xiaomi begins rolling out HyperOS 3.0.304.0 (patched)
Jun 2026 -> CVE-2026-24088 officially assigned in Qualcomm Security Bulletin
El exploit funciona como una cadena de tres etapas a nivel del bootloader:
En Android 16, el ABL de Qualcomm carga el Generic Bootloader (GBL) desde la partición efisp. El fallo crítico: el ABL solo comprueba si el binario es una aplicación UEFI válida; NO verifica su firma criptográfica. Esto significa que una aplicación UEFI personalizada y sin firma puede colocarse en efisp y se ejecutará en la etapa del bootloader con privilegios totales.
El comando fastboot oem set-gpu-preemption carece de saneamiento de entrada. El ABL concatena directamente el argumento proporcionado en la línea de comandos del kernel sin filtrarlo.
Al pasar androidboot.selinux=permissive como argumento adicional:
fastboot oem set-gpu-preemption 0 androidboot.selinux=permissive
...el bootloader escribe androidboot.selinux=permissive en la cmdline del kernel, que el proceso init de Android lee durante el arranque, desactivando efectivamente la aplicación de SELinux.
Una aplicación UEFI personalizada colocada en efisp puede establecer los flags is_unlocked e is_unlocked_critical para desbloquear permanentemente el bootloader. (Este paso NO se probó; conlleva riesgo de brick irreversible.)
⚠️ Detente antes de continuar: Ejecuta primero la comprobación de parches de la Sección 7. Si tu dispositivo está parcheado, nada de esto funcionará.