OnePlus 13 (OP5D0DL1) CVE-2026-64560

Adaptation spécifique à l'appareil de la preuve de concept Android CVE-2026-64560 pour les builds exacts du OnePlus 13 (PJZ110) listés ci-dessous. Elle fournit un accès root temporaire pour le démarrage en cours via un assistant utilisable uniquement depuis un shell ADB.

[!WARNING] Il s'agit de code d'exploitation du noyau expérimental. Il peut redémarrer l'appareil, corrompre l'état du noyau ou entraîner une perte de données. Utilisez-le uniquement sur un appareil que vous possédez ou que vous êtes explicitement autorisé à tester. Sauvegardez d'abord les données importantes.

Cibles prises en charge

Ce dépôt cible des images de noyau, et ses profils ciblent des empreintes de build ; une OTA peut modifier l'une sans l'autre. Les deux builds ci-dessous embarquent le noyau identique octet pour octet, ils partagent donc chaque offset et ne diffèrent que par la chaîne de contrôle de l'appareil. docs/BUILDS.md est l'index et l'arbre de décision pour une nouvelle image — commencez par là.

Le lanceur rejette une empreinte inattendue et vérifie chaque charge utile fournie avant exécution. Ce dépôt ne contient pas d'images de firmware, de clés d'appareil, ni de secrets propres à l'appareil.

Utilisation

Prérequis :

• Android Platform Tools avec adb disponible dans le PATH
• débogage USB activé et autorisé
• une marge thermique : les tentatives démarrées au-dessus de 55 °C échouent bien plus souvent, et la campagne attend plutôt que d'espérer

Depuis la racine du dépôt :

sh scripts/boot-campaign.sh -s <serial> -p bin/cve-2026-64560-fanout-op13-cp2a.260605.016 -n 10

Après ROOT_SUCCESS, tout nouveau terminal peut ouvrir le shell root temporaire :

adb -s <serial> shell -T /data/local/tmp/su

Exécutez id pour vérifier uid=0(root). L'accès ne dure que pour le démarrage en cours ; relancez après un redémarrage. Aucune partition boot, vendor ou system n'est modifiée.

L'exploit contient une course probabiliste dans le noyau. La chaîne atteint de manière fiable le stade de pont et franchit sa barrière de lecture environ un démarrage sur huit, donc une série de démarrages sans résultat n'est pas la preuve que quelque chose est cassé — prévoyez des démarrages, et consultez docs/BUILDS.md pour le seul compteur qui ressemble à un signal d'échec sans en être un.

scripts/boot-campaign.sh est la boucle du lanceur en POSIX sh, pour les hôtes où l'hôte PowerShell de scripts/root.ps1 n'est pas disponible. Les deux appliquent les mêmes barrières.

Compilation

Android NDK r29 et API 35 sont les valeurs par défaut pour une compilation reproductible. Le NDK n'est pas présent par défaut, passez donc sa racine :

.\scripts\build.ps1 -Profile profiles\op13\CP2A.260605.016.json -NdkRoot <path-to-ndk>

Le script compile les stratégies d'exploitation et l'assistant su temporaire, retire les symboles des sorties, et vérifie leurs valeurs SHA-256 épinglées.

rotate est compilé mais délibérément non promu : il a fait tomber le noyau sur cet appareil et n'a pas été revalidé depuis le recalibrage du timer.

Portage vers un autre build

python tools/extract_image.py <boot.img> <out>   # compare the Image digest first
python tools/port_target.py --profile profiles/op13/<BUILD>.json

Tout ce qu'un build possède est nommé d'après le build, donc deux builds d'un même appareil n'entrent jamais en collision. Voir docs/BUILDS.md pour l'arbre de décision et docs/PORTING.md pour la liste de contrôle complète.

Organisation du dépôt

Crédits

Le framework d'exploitation que ce dépôt adapte — les sources de l'exploit, les stades de credentials et de restauration, l'assistant su temporaire, la compilation reproductible, le lanceur adaptatif et la boîte à outils de portage — provient de l'adaptation Xiaomi 15 dada :

• https://github.com/quyicheng03-boop/xiaomi15-dada-cve-2026-64560

Les offsets du OnePlus 13, l'ajustement de la course et la validation ici ont été mesurés sur cet appareil plutôt que repris ; les deux cibles de noyau sont des images différentes, donc presque toutes les adresses diffèrent. Le profil et les charges utiles dada sont conservés comme la référence sur laquelle le framework a été initialement validé.

La preuve de concept originale, et la vulnérabilité elle-même, sont en amont des deux :

• NebuSec/CyberMeowfia

Les révisions exactes et les correctifs Linux sont listés dans docs/UPSTREAM.md.

Licence

Apache License 2.0, héritée du travail amont. Voir LICENSE et NOTICE.