Herramienta de Root temporal para OnePlus Ace 6

Obtén permisos de root temporales para el ciclo de arranque actual del OnePlus Ace 6 mediante la vulnerabilidad CVE-2026-64560 (UAF en el temporizador de CPU POSIX del kernel de Linux). Se pierden tras reiniciar y no modifica las particiones del sistema.

[!WARNING] Puede provocar el reinicio del dispositivo o la pérdida de datos. Úsala únicamente en tu propio dispositivo y haz una copia de seguridad de los datos importantes antes de proceder.

Dispositivos compatibles

Si la huella de la versión de tu sistema no coincide, la herramienta se negará a ejecutarse y mostrará TARGET_PROFILE_GATE_FAIL.

Preparación previa

1. Un OnePlus Ace 6 con una versión del sistema que coincida con la anterior
2. Un ordenador (Windows / macOS / Linux)
3. Un cable USB
4. El teléfono con la depuración USB activada (Ajustes → Acerca del teléfono → toca 7 veces el número de compilación para activar las opciones de desarrollador → Opciones de desarrollador → Depuración USB)
5. El ordenador con adb instalado (enlace de descarga; tras descomprimirlo, añade la ruta al PATH del sistema)

Paso 1 — Descargar la herramienta

Ve a la página de Releases de este repositorio y descarga la última versión de cve-2026-64560-fanout-opace6.

Coloca el archivo descargado en un lugar que recuerdes, por ejemplo el escritorio.

Paso 2 — Conectar el dispositivo

Conecta el teléfono y el ordenador con el cable USB y, cuando aparezca la ventana emergente en el teléfono, pulsa «Permitir depuración USB».

Abre una terminal (en Windows pulsa Win+R, escribe cmd y pulsa Intro) y verifica que el dispositivo está conectado:

adb devices

Deberías ver el número de serie de tu dispositivo con el estado device. Si aparece unauthorized, pulsa permitir en el teléfono.

Paso 3 — Enviar al teléfono

Windows:

adb push C:\Users\你的用户名\Desktop\cve-2026-64560-fanout-opace6 /data/local/tmp/
adb shell chmod 777 /data/local/tmp/cve-2026-64560-fanout-opace6

macOS / Linux:

adb push ~/Desktop/cve-2026-64560-fanout-opace6 /data/local/tmp/
adb shell chmod 777 /data/local/tmp/cve-2026-64560-fanout-opace6

Nota: Es obligatorio dar permisos 777; con 755 dará error Permission denied.

Paso 4 — Comprobación previa

Ejecuta primero la comprobación previa para confirmar que tu dispositivo puede usarla:

adb shell /data/local/tmp/cve-2026-64560-fanout-opace6 --preflight

Si ves PREFLIGHT_PASS, todo está correcto y puedes continuar. Si ves TARGET_PROFILE_GATE_FAIL, tu versión del sistema no coincide y no podrás usarla.

Paso 5 — Ejecutar

Esta herramienta aprovecha una condición de carrera del kernel, por lo que es probabilística y puede requerir varios intentos o incluso varios reinicios.

Opción A: Usar el script automático (recomendado)

El script automático se encarga de reintentar, incluido reiniciar el dispositivo automáticamente, esperar el enfriamiento y detectar el éxito.

Windows:

Coloca scripts\boot-campaign.bat de este repositorio y el payload descargado en la misma carpeta, luego abre CMD, entra en esa carpeta y ejecuta:

boot-campaign.bat -n 6

-n 6 significa un máximo de 6 reinicios para intentarlo. El script hará automáticamente:

• Enviar el archivo al teléfono
• Ejecutar la comprobación previa
• Ejecutar el exploit y mostrar el progreso en tiempo real (número de attempt)
• Si falla, reiniciar el dispositivo para enfriarlo y reintentar
• Salir automáticamente al tener éxito

macOS / Linux:

sh scripts/boot-campaign.sh -p cve-2026-64560-fanout-opace6 -n 6

(Opcional: -u cve-2026-64560-su especifica la ruta de temp-su; tras el éxito, la sesión de root podrá usarse entre terminales.)

Opción B: Ejecución manual

adb shell /data/local/tmp/cve-2026-64560-fanout-opace6 --run

Si no tiene éxito (no ves ROOT_SUCCESS), reinicia el teléfono e inténtalo de nuevo. Se recomienda esperar a que el teléfono no esté caliente al tacto antes de reintentar; una temperatura de CPU demasiado alta reduce la tasa de éxito.

Paso 6 — Usar root

Tras el éxito verás ROOT_SUCCESS / ROOT_CHILD_HOLD_PASS. El shell de root está en la misma ventana de terminal donde ejecutaste --run (el exploit mostrará interactive root child; exit to finish); escribe directamente id y, si ves uid=0(root), significa que ya has obtenido permisos de root.

Si quieres usar root en otra terminal, primero debes hacer que la sesión de root sea persistente:

1. Obtén cve-2026-64560-su (no está en el Release; consulta los artefactos de compilación de Actions del repositorio, o compila src/temp-su.c con el Android NDK) y envíalo al teléfono:

   root@kitploit:~

   adb push cve-2026-64560-su /data/local/tmp/su
   adb shell chmod 755 /data/local/tmp/su
   

2. En el shell de root del exploit, ejecuta:

   root@kitploit:~

   /data/local/tmp/su --daemon
   

3. Después, en cualquier terminal, ejecuta adb shell /data/local/tmp/su y escribe id para verificarlo.

Nota: Al usar boot-campaign.bat / boot-campaign.sh, coloca cve-2026-64560-su y el payload en el mismo directorio (o especifica la ruta con -u); el script lo enviará y arrancará el daemon automáticamente.

Importante: Los permisos de root solo son válidos durante este arranque; tras reiniciar el teléfono tendrás que volver a ejecutarlo. No modifica las particiones boot, vendor ni system, y no afecta a las actualizaciones OTA.

Origen y licencia

Upstream: NebuSec/CyberMeowfia. Para las revisiones concretas y las correcciones de Linux, consulta docs/UPSTREAM.md. Apache License 2.0; consulta LICENSE y NOTICE.