Redmi K50 Gaming (ingres) — CVE-2026-43499 (GhostLock) 临时 Root PoC

免解锁 BL 一键临时 Root。利用 GhostLock（CVE-2026-43499, futex PI Use-After-Free） 本地提权链拿到 root 锚点，随后通过 KernelSU 3.3.0 late-load 方式把 kernelsu 模块挂载进运行中的内核，配合 KSU 模块保持 SELinux Permissive 并修复网络。

目标设备: Redmi K50G / POCO F4 GT —— 代号 ingres, SoC SM8450 (Snapdragon 8 Gen 1) 系统: Android 14, UKQ1.240624.001, 内核 5.10.209-android12 (KMI android12-5.10) 状态: ✅ 实机验证临时 Root 成功

1. 文件说明

2. 成功方法 / 提权链

整套链分四步：

1. GhostLock UAF 触发（CVE-2026-43499）
   • futex PI 环形拓扑（FUTEX_WAIT_REQUEUE_PI + FUTEX_CMP_REQUEUE_PI）制造内核栈上悬垂的 rt_mutex_waiter；
   • 用内核栈 stamp（sysctl 路径等）把伪造的 waiter 字段覆盖到被释放的位置；
   • 消费线程触发 rt_mutex_adjust_prio_chain 走查，得到受控的内核读/写原语。
2. 内核锚点 root
   • 通过写原语注入 cred（uid/gid=0、完整 caps、kernel SID），得到一个 root 锚点进程（运行日志里的 anchor: ROOT uid=0）；
   • 锚点内 fork：root shell（SHELL_ROOT=1）与 su daemon（SU_DAEMON=1，/data/local/tmp/su）。
3. KernelSU late-load
   • 内核模块 kernelsu.ko 通过 libksud.so late-load --kmi 5.10.209-android12 装入运行中的内核（无需刷机/补丁 boot 镜像，与设备当前 KMI 精确匹配）；

3. 使用方法

方式 A：Windows 一键（推荐）

1. 手机开启开发者选项 + USB 调试，连接电脑；
2. 双击 Root-K50G.bat；
3. 按提示在手机上允许 USB 调试授权；
4. 提权约 1~3 分钟，完成后当前 adb 会话直接变为 root shell，输入 id 验证 uid=0(root)；
5. 也可用 /data/local/tmp/su -c id 验证。

方式 B：手动 adb

adb push exploit /data/local/tmp/exploit
adb push ksu_loader.sh /data/local/tmp/ksu_loader.sh
adb shell chmod 755 /data/local/tmp/exploit /data/local/tmp/ksu_loader.sh

adb shell "env NO_COLOR=1 SE_LINUX=1 KSU_LOADER=1 SHELL_ROOT=1 SU_DAEMON=1 SUSPECT_CPU=99999 KS_MAX_TRIES=8 /data/local/tmp/exploit"

运行结束后验证：

adb shell /data/local/tmp/su -c id
# uid=0(root) gid=0(root) ...

4. 环境变量

5. 注意事项

• 断网处理：被 KSU 翻回 Enforcing 导致断网时，chuxin_permissive_netfix 模块的 service.sh 会自动重置属性并重启 netd（刷 LSPosed 等模块后也有效）；
• Root 是临时的：重启后失效，需重新运行提权；SELinux 宽容由 KSU 模块在启动后自动恢复；
• 本方案不需要解锁 Bootloader，也不需要刷机。

6. 免责声明

本仓库内容仅供安全研究与个人设备测试使用。提权/修改系统状态具有一定风险，操作不当可能导致设备变砖或数据丢失。请在完全理解原理并自行承担后果的前提下使用，勿用于非法用途。

参考：CVE-2026-43499（GhostLock）—— Linux 内核 futex 优先级继承 UAF，影响 2.6.39 ~ 7.1 内核，可本地提权。