Investigación de exploits del kernel — Xiaomi 5.4-qgki (veux y moonstone)

Fecha: 2026-10-07/08 Dispositivos: Redmi Note 11 Pro 5G (veux, 5.4.274-qgki) y POCO X5 5G (moonstone, 5.4.191-qgki) SoC: Snapdragon 695 (SM6375)

Resumen

CVE	Estado	Notas
CVE-2026-43284 (DirtyFrag)	❌ Descartado	Requiere MSG_SPLICE_PAGES (kernel 6.5+)
CVE-2026-24088 (Qualcomm fastboot)	⚠️ Específico del bootloader	TheFliss: "unknown command" en su dispositivo
CVE-2022-2602 (io_uring UAF)	❌ Descartado	El kernel bloquea la ruta de registro (EFAULT/EINVAL)
CVE-2022-20421 (BadSpin)	❌ Probado, sin éxito	Compila correctamente, entra en bucle sin ganar la race
CVE-2023-20938 (binder UAF)	✅ Vulnerable (ambos)	Aún no probado
CVE-2023-4622 (af_unix UAF)	✅ Vulnerable (ambos)	Aún no probado
CVE-2026-43499 (GhostLock)	❓ Posiblemente vulnerable	La app GhostLock no funciona en 5.4 por diseño
CVEs de KGSL (5x)	❓ Posiblemente vulnerable	2024-38399 tiene writeup+PoC

1. DirtyFrag (CVE-2026-43284)

Veredicto: No es viable en 5.4.

El fallo existe en 5.4 (código de 4.11), pero el exploit requiere soporte de MSG_SPLICE_PAGES para UDP para la primitiva de escritura en page-cache. Esto se introdujo en el kernel 6.5. En 5.4, splice() a UDP realiza una copia normal — sin adjuntar página compartida.

CVE-2026-43500 (variante RxRPC) tampoco es aplicable — el código de RxRPC se introdujo en 6.8.

Repositorio: https://github.com/HirokiAkihiko/dirtyfrag-research

2. CVE-2026-24088 (Qualcomm ABL Fastboot)

Veredicto: Específico del bootloader, no universal.

Fallo en Qualcomm ABL: fastboot oem set-gpu-preemption no sanitiza los argumentos, lo que permite inyectar androidboot.selinux=permissive en la cmdline del kernel.

Afecta a SM6375 (confirmado por investigación de terceros)
No requiere desbloqueo del bootloader
Con cable (debe repetirse en cada arranque)

Resultado de la prueba (TheFliss): FAILED (remote: 'unknown command') — su bootloader no implementa el comando. Este CVE depende de la compilación específica de ABL.

3. CVE-2022-2602 (io_uring UAF)

Veredicto: Descartado en estos dispositivos. El kernel bloquea activamente la ruta de registro.

Trabajo realizado:

PoC portado de x86_64 a ARM64 Android (sin liburing, helpers mínimos incluidos en el código)
Compilado con NDK r27d → binario estático de 2.2MB
Pruebas en dispositivo mediante LADB con 4 binarios de diagnóstico

Hallazgos:

CONFIG_IO_URING=y confirmado
io_uring_setup funciona con flags simples (SQPOLL bloqueado → requiere CAP_SYS_ADMIN)
IORING_REGISTER_FILES → EFAULT (consistente, incluso mediante SVC directo)
IORING_REGISTER_BUFFERS → EINVAL
Conclusión: bloqueo a nivel de kernel en la ruta de registro de io_uring, no de SELinux/seccomp

La primitiva UAF requiere que IORING_REGISTER_FILES tenga éxito. Sin ello, la cadena de exploit no puede continuar.

Paquete: ~/workspace/cve-2022-2602-bundle/ (código fuente, binarios, diagnósticos)

4. CVE-2022-20421 (BadSpin)

Veredicto: Compila y se ejecuta, pero no tiene éxito en veux.

Trabajo realizado:

Fuente: mateusvdcastro/badspin
Adaptado para veux:
- Eliminada la comprobación de SPL en exploit.c (find_dev_config())
- Añadida entrada del dispositivo veux en dev_config.h (modelo 2201116SG, Android 13, kernel 5.4.274, SPL 2024-12)
Compilado mediante GitHub Actions (NDK r27d) → libbadspin.so (345K, ARM64)
Probado en dispositivo mediante LADB con TEST_VULN=1

Resultado de la prueba: dev_config_init falló inicialmente (discrepancia en el mes del SPL: la entrada tenía month=1, el dispositivo tiene 2024-12). Corregido mediante GitHub. Tras la corrección, el exploit se ejecuta y dispara la vulnerabilidad ("Trigger use-after-free") pero entra en bucle indefinidamente sin ganar la race condition.

Repositorio: https://github.com/HirokiAkihiko/badspin-veux (privado)

5. Candidatos restantes (vulnerabilidad verificada, aún no probados)

CVE-2023-20938 (binder UAF)

Estado: Vulnerable tanto en veux como en moonstone
Los commits de corrección bdc1c5fac982 y 4df153652cc4 no están presentes en el código fuente de Xiaomi
Siguiente objetivo recomendado

CVE-2023-4622 (af_unix UAF race)

Estado: Vulnerable en ambos dispositivos
La corrección 4821df2ffe38 no está presente; skb_peek_tail sigue sin bloqueo
Race condition — más difícil de hacer fiable

CVE-2026-43499 (GhostLock/futex)

Estado: Posiblemente vulnerable (patrón current->pi_blocked_on = NULL presente)
Nota: la propia aplicación GhostLock no funciona en 5.4 por diseño (problema de temporización)

CVE de KGSL (GPU Adreno)

CVE-2023-33106, CVE-2023-33107, CVE-2023-33021, CVE-2024-38399, CVE-2025-27038
Estado: Posiblemente vulnerable (sin actualizaciones de KGSL desde 2023-06 en veux)
CVE-2024-38399 tiene un análisis público + PoC
Los exploits de GPU son complejos

Lección clave

Las etiquetas de versión son engañosas. veux-r-oss está etiquetado como 5.4.274 pero le faltan backports estables de 5.4.y que deberían estar ahí (correcciones de binder de 2023-06, corrección de af_unix de 2023-08). Verifica siempre a nivel de código, no por el número de versión.

Archivos y repositorios

Investigación de DirtyFrag: https://github.com/HirokiAkihiko/dirtyfrag-research (público)
BadSpin veux: https://github.com/HirokiAkihiko/badspin-veux (privado)
Paquete de CVE-2022-2602: ~/workspace/cve-2022-2602-bundle/
Evidencia de búsqueda de CVE: ~/workspace/cve-hunt/

dirtyfrag-research

Más Populares