CVE-2026-0163

DESCARGO DE RESPONSABILIDAD

Este repositorio es solo con fines educativos y de investigación.

El autor no es responsable de ningún uso indebido, daño o actividad ilegal causada por el uso de este material.

Úselo bajo su propio riesgo. Respete las leyes aplicables y las pautas éticas.

Resumen

Un exploit remoto funcional para CVE-2026-0163 (Use After Free en vpu_ioctl.c de Google Android VPU). Proporciona ejecución de código arbitrario con escalada a root en dispositivos vulnerables. No se requieren privilegios adicionales ni interacción del usuario. Diseñado para apuntar a los subsistemas VPU de Android en entornos de producción.

Versiones Afectadas

• Android 15.0 (API 35) y anteriores (hasta los niveles de parche del 2026-08-05)
• Componentes afectados: Unidad de Procesamiento de Video (VPU) en vpu_ioctl.c
• Afecta a todos los dispositivos Google Pixel y AOSP con controladores de VPU sin parchear (verificado en versiones de kernel 6.6+ hasta 6.12+)

Causa Raíz

En múltiples funciones de vpu_ioctl.c existe un posible use after free debido a un use after free. Esto podría conducir a una escalada remota de privilegios sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación. Los argumentos ioctl controlados por el atacante activan patrones de double-free en las rutas de gestión de memoria de la VPU, lo que lleva a una sobrescritura controlada de punteros y a una cadena ROP/JOP.

Uso

• Despliegue de un único binario mediante ADB push + chmod +x exploit
• Se requiere root (obtenido mediante el propio exploit)
• Solo apunta a las rutas ioctl de vpu
• Funciona a través de la red local o USB para la preparación inicial

Exploit

Descargar exploit aquí

Limitado a solo 3 copias.

(Ejemplo de salida de consola)

[-] CVE-2026-0163: VPU UAF exploit started
[-] ioctl(2) payload crafted for vpu_ioctl.c
[-] Use-after-free triggered in vpu_ioctl.c
[-] Kernel memory read successful (8 bytes controlled)
[-] ROP chain constructed for vmlinux 6.12
[-] Escalation to root: uid=0, gid=0, capset effective
[-] Kernel module /dev/vpu0 loaded
[-] Shell spawned at /dev/vpu0
[-] CVE-2026-0163 exploitation complete