Skip to content
KitploitKITPLOIT
OutilsExploitsBlog
Log in
Soumettre
OutilsExploitsBlog
Soumettre

Outils de Hacking, PenTest et Cybersécurité pour votre Arsenal de Sécurité !

Kitploit est un répertoire d'outils de hacking, de cybersécurité et de pentesting. Découvrez les dernières mises à jour des projets pour trouver des vulnérabilités, analyser des systèmes, automatiser les tests et renforcer votre sécurité.

FluxContactConfidentialité© 2026 Kitploit

Répertoire d'outils

Catégories

Voir toutes les catégories
Loading categories
K50G-POCOF4GT-CVE-2026-43499-PoC — Exploit d'élévation de privilèges locale pour Redmi K50G/POCO F4 GT utilisant CVE-2026-43499 (futex UAF) pour obtenir un accès root temporaire et charger KernelSU sans déverrouiller le bootloader. | Kitploit
Outils/GitHubGitHub/cxyofficial/k50g-pocof4gt-cve-2026-43499-poc
Sécurité AndroidEscalade de PrivilègesFrameworks d'ExploitationExploitationPost-ExploitationSécurité MobileDéveloppement de Charges UtilesExploitation de Binaires

Populaires

Voir tout →

Découvrez les outils les plus utilisés par notre communauté.

Explorer tous les outils

Parcourez notre collection d'outils

Voir tous les outils →
Partager
GitHub
cxyofficial/k50g-pocof4gt-cve-2026-43499-poc

K50G-POCOF4GT-CVE-2026-43499-PoC

Exploit d'élévation de privilèges locale pour Redmi K50G/POCO F4 GT utilisant CVE-2026-43499 (futex UAF) pour obtenir un accès root temporaire et charger KernelSU sans déverrouiller le bootloader.

Voir le dépôt
1113il y a 1 moisPas encore vérifié

Redmi K50 Gaming (ingres) — CVE-2026-43499 (GhostLock) PoC de root temporaire

Root temporaire en un clic sans déverrouillage du BL. Exploite la chaîne d'élévation de privilèges locale GhostLock (CVE-2026-43499, futex PI Use-After-Free) pour obtenir un point d'ancrage root, puis monte le module kernelsu dans le noyau en cours d'exécution via le mode late-load de KernelSU 3.3.0, en s'appuyant sur le module KSU pour maintenir SELinux Permissive et réparer le réseau.

Appareil cible : Redmi K50G / POCO F4 GT —— nom de code ingres, SoC SM8450 (Snapdragon 8 Gen 1) Système : Android 14, UKQ1.240624.001, noyau 5.10.209-android12 (KMI android12-5.10) État : ✅ Root temporaire vérifié avec succès sur appareil réel

1. Description des fichiers

FichierRôle
exploitBinaire d'élévation de privilèges GhostLock (ARM64 PIE, non strip). Contient en interne la localisation par collision mm de KernelSnitch, le recouvrement de pile UAF futex PI, le root par ancre noyau, le daemon su, ainsi que libksud.so intégré et la logique de late-load KSU
Root-K50G.batScript tout-en-un Windows (localise les fichiers depuis son propre répertoire, utilisable par double-clic) : détection de l'appareil → envoi des fichiers → exécution de l'élévation → accès direct au shell root
ksu_loader.shExécuté par l'ancre noyau déjà root : libksud.so late-load --kmi 5.10.209-android12 charge KernelSU, puis déclenche successivement les phases post-fs-data / services / boot-completed
ksu-module/chuxin_permissive_netfix/Module KernelSU (module.prop + service.sh) : surveille enforce=0 toutes les 2 secondes, réinitialise les propriétés anti-falsification, redémarre netd, active wifi/données pour réparer la coupure réseau
adb/Outils adb intégrés (portables, sans installation)
adb驱动无需重启.exeOutil d'installation en un clic des pilotes Xiaomi

2. Méthode réussie / chaîne d'élévation de privilèges

L'ensemble de la chaîne se divise en quatre étapes :

  1. Déclenchement de l'UAF GhostLock (CVE-2026-43499)
    • Topologie en anneau futex PI (FUTEX_WAIT_REQUEUE_PI + FUTEX_CMP_REQUEUE_PI) créant un rt_mutex_waiter pendant sur la pile noyau ;
    • Utilisation d'un stamp de pile noyau (chemin sysctl, etc.) pour recouvrir les champs du waiter falsifié à l'emplacement libéré ;
    • Le thread consommateur déclenche rt_mutex_adjust_prio_chain pour le parcours, obtenant des primitives de lecture/écriture noyau contrôlées.
  2. Root par ancre noyau
    • Injection via la primitive d'écriture d'un cred (uid/gid=0, caps complets, SID noyau), obtenant un processus ancre root (anchor: ROOT uid=0 dans les journaux d'exécution) ;
    • Fork dans l'ancre : shell root (SHELL_ROOT=1) et daemon su (SU_DAEMON=1, /data/local/tmp/su).
  3. Late-load de KernelSU
    • Le module noyau kernelsu.ko est chargé dans le noyau en cours d'exécution via libksud.so late-load --kmi 5.10.209-android12 (sans flash/patcher l'image boot, correspondant exactement au KMI actuel de l'appareil) ;
    • ksu_loader.sh exécute successivement post-fs-data, services, boot-completed, permettant au framework de gestion KernelSU (ksud) de démarrer normalement.
  4. Maintien du mode Permissive + réparation réseau
    • Le module KSU chuxin_permissive_netfix est installé dans /data/adb/modules/ : son service s'exécute dans le domaine ksu (disposant de la permission security:setenforce), réécrit enforce à 0 toutes les 2 secondes, contrant le comportement de ksud qui repasse SELinux en Enforcing après boot-completed (évite le rejet AVC du socket su + la coupure réseau) ;
    • Environ 10 s après le premier démarrage, réinitialise les propriétés ro.boot.flash.locked / verifiedbootstate / bit de garantie et redémarre netd, réparant le réseau après Root.

3. Utilisation

Méthode A : tout-en-un Windows (recommandée)

  1. Activer les options développeur + le débogage USB sur le téléphone, connecter à l'ordinateur ;
  2. Double-cliquer sur Root-K50G.bat ;
  3. Autoriser l'autorisation de débogage USB sur le téléphone selon les invites ;
  4. L'élévation prend environ 1 à 3 minutes ; une fois terminée, la session adb actuelle devient directement un shell root, saisir id pour vérifier uid=0(root) ;
  5. On peut aussi vérifier avec /data/local/tmp/su -c id.

Méthode B : adb manuel

adb push exploit /data/local/tmp/exploit
adb push ksu_loader.sh /data/local/tmp/ksu_loader.sh
adb shell chmod 755 /data/local/tmp/exploit /data/local/tmp/ksu_loader.sh

adb shell "env NO_COLOR=1 SE_LINUX=1 KSU_LOADER=1 SHELL_ROOT=1 SU_DAEMON=1 SUSPECT_CPU=99999 KS_MAX_TRIES=8 /data/local/tmp/exploit"

Vérification après l'exécution :

adb shell /data/local/tmp/su -c id
# uid=0(root) gid=0(root) ...

4. Variables d'environnement

VariableValeur par défautSignification
NO_COLOR0Désactive les journaux colorés
SE_LINUX0Active le basculement SELinux Permissive (écriture directe d'enforce via l'ancre noyau)
KSU_LOADER0Exécute ksu_loader.sh dans l'ancre root (late-load de KernelSU)
SHELL_ROOT0Fork d'un shell root dans l'ancre
SU_DAEMON0Lance le daemon /data/local/tmp/su dans l'ancre
SUSPECT_CPU-Spécifie le CPU suspect (liaison de l'ancre), 99999 indique automatique
KS_MAX_TRIES-Limite d'essais de collision mm/ancre de KernelSnitch

5. Remarques

  • Gestion de la perte de réseau : lorsque KSU repasse en Enforcing et provoque une coupure réseau, le service.sh du module chuxin_permissive_netfix réinitialise automatiquement les propriétés et redémarre netd (efficace également après le flash de modules tels que LSPosed) ;
  • Le root est temporaire : il devient invalide après un redémarrage et nécessite de relancer l'élévation de privilèges ; la permissivité SELinux est automatiquement restaurée par le module KSU après le démarrage ;
  • Cette solution ne nécessite ni le déverrouillage du Bootloader, ni le flashage du firmware.

6. Avertissement

Le contenu de ce dépôt est destiné uniquement à la recherche en sécurité et aux tests sur des appareils personnels. L'élévation de privilèges et la modification de l'état du système comportent certains risques ; une manipulation inappropriée peut rendre l'appareil inutilisable ou entraîner une perte de données. Veuillez l'utiliser en comprenant pleinement les principes et en assumant vous-même les conséquences, et ne l'utilisez pas à des fins illégales.

Référence : CVE-2026-43499 (GhostLock) — UAF d'héritage de priorité futex du noyau Linux, affectant les noyaux 2.6.39 ~ 7.1, permettant une élévation de privilèges locale.

Télécharger l’outil