GhostLock 5.10

Este es un exploit de root a nivel de kernel para el Amazon Fire Max 11 (sunstone) y el Fire TV Stick 4K Max 2.ª generación / 2023 (karat), adaptado de CVE-2026-43499 en CyberMeowfia.

Dispositivos compatibles

Se admiten dos dispositivos, ambos con Fire OS 8. Cada uno tiene su propio objetivo de compilación.

Fire Max 11 (sunstone)

Fire TV Stick 4K Max 2.ª generación (karat)

Compilación

Requiere GNU Make y Android NDK r29.

make                 # Fire Max 11 (sunstone), el predeterminado
make PROJECT=karat   # Fire TV Stick 4K Max 2.ª generación

O compila un zip distribuible, que se encarga de todo por ti:

./makedist.sh                 # sunstone
PROJECT=karat ./makedist.sh   # karat

El resultado se escribe en dist/ghostlock-<project>-v<version>.zip, donde la versión proviene del archivo VERSION (anula con VERSION=x.y.z ./makedist.sh).

Uso

./root.sh

En Windows, ejecuta root.bat.

El script reinicia el dispositivo, ejecuta el exploit y te deja en un shell de root cuando termina. Si falla, reintentará automáticamente hasta 8 veces.

Si el dispositivo está conectado por USB, el script también desactiva el Wi-Fi en cada intento, lo que hace que el exploit sea notablemente más fiable.

Si tiene éxito, verás un prompt de shell de root como este:

root@sunstone:/ #

En las versiones más recientes de Fire OS, Amazon añadió KASLR, por lo que puede tardar unos minutos en ejecutarse por completo. Ten paciencia. Una vez que esté activo, su funciona desde cualquier adb shell hasta el siguiente reinicio.

También hay un shell de enlace en 127.0.0.1:9999, que permanece abierto mientras dure el root. La forma más fácil de acceder es ejecutar nc en el propio dispositivo:

adb shell -t "nc 127.0.0.1 9999"

O reenvía el puerto y conéctate desde el host:

adb forward tcp:9999 tcp:9999
stty raw -echo; nc 127.0.0.1 9999; stty sane

[!CAUTION] Mientras tengas root, nuestro dispositivo sigue usando dm-verity, por lo que cualquier modificación en las particiones system/vendor/etc. resultará en un brick.

Dañar particiones críticas como LK, TEE o Preloader también resultará en un brick. Usa este exploit bajo tu propio riesgo.

Shell de LM

En el Fire TV Stick, se abre un segundo shell de root sin procesar en 127.0.0.1:9060 para Launcher Manager.

LM normalmente genera su propio shell como usuario del sistema, pero reutiliza el puerto si ya está abierto, por lo que si el exploit mantiene 9060 con un shell de root, debería operar como root en su lugar.

Ejecuta primero el exploit para que reclame el puerto y luego (re)inicia LM.

OTAs

Las actualizaciones OTA se desactivan automáticamente en cuanto el root tiene éxito. Una sola OTA puede moverte a una compilación que no es compatible aquí, o que corrige el exploit.

Los paquetes exactos difieren entre la tableta y el Fire TV Stick; el exploit elige el conjunto correcto según el dispositivo. Busca las líneas OTA: pm ... ok en la salida para confirmarlo.

Si algún paso informa not applied, ejecútalo tú mismo desde el shell de root.

En el Fire Max 11 (sunstone):

pm disable com.amazon.device.software.ota
pm disable com.amazon.kindle.otter.oobe.forced.ota
sync

En el Fire TV Stick (karat):

pm disable com.amazon.device.software.ota
pm clear com.amazon.device.software.ota
pm disable com.amazon.device.software.ota.override
pm disable-user com.amazon.sneakpeek
pm disable com.amazon.client.metrics
sync

Esto sobrevive a los reinicios, pero no a un restablecimiento de fábrica. Para volver a habilitarlo, usa pm enable (o pm enable-user) con los mismos paquetes desde un shell de root.

Créditos

• CyberMeowfia: exploit original de IonStack (CVE-2026-43499)
• IonStackQuest3: primer port público para kernels 5.10
• Pro-me3us: recopilación de URLs de firmware de karat
• sweenwolf: Launcher Manager, usado en FTVs