Xiaomi 15 (dada) CVE-2026-64560

Adaptation spécifique à l’appareil de la preuve de concept Android NebuSec CVE-2026-64560 pour une build exacte du Xiaomi 15. Elle fournit un accès root temporaire pour le boot en cours via un assistant accessible uniquement par ADB shell.

[!WARNING] Ceci est un code d’exploitation de noyau expérimental. Il peut redémarrer l’appareil, corrompre l’état du noyau ou entraîner une perte de données. Utilisez-le uniquement sur un appareil que vous possédez ou pour lequel vous êtes explicitement autorisé à tester. Sauvegardez d’abord les données importantes.

Cible prise en charge

Le lanceur rejette tout fingerprint inattendu et vérifie chaque payload fourni avant exécution. Ce dépôt ne contient ni images firmware, ni clés d’appareil, ni secrets propres à l’appareil.

Utilisation

Prérequis :

• Windows PowerShell
• Android Platform Tools avec adb disponible dans le PATH
• Débogage USB activé et autorisé

Depuis la racine du dépôt :

powershell -ExecutionPolicy Bypass -File .\scripts\root.ps1

Si plusieurs appareils ADB sont connectés, sélectionnez-en un explicitement :

powershell -ExecutionPolicy Bypass -File .\scripts\root.ps1 -Serial SERIAL

Après ROOT_SUCCESS, tout nouveau terminal peut ouvrir le shell root temporaire :

adb -s SERIAL shell -t /data/local/tmp/su

Exécutez id pour vérifier uid=0(root). L’accès ne dure que pour le boot en cours ; relancez le script après un redémarrage. Aucune partition boot, vendor ou system n’est modifiée.

L’exploit contient une course (race) probabiliste dans le noyau. Le lanceur utilise automatiquement deux stratégies de récupération vérifiées indépendamment et effectue un cold-boot entre les résultats dangereux ou non concluants. La limite par défaut est de 12 boots et peut être modifiée avec -MaxBoots.

Compilation

Android NDK r29 et API 35 sont les valeurs par défaut de compilation reproductible :

.\scripts\build.ps1

Le script compile les deux stratégies d’exploitation et l’assistant su temporaire, nettoie les sorties et vérifie leurs valeurs SHA-256 épinglées.

Boîte à outils de portage

Créez un profil brouillon en lecture seule pour un autre appareil connecté et enregistrez ses hashs exacts boot/Image :

.\scripts\new-target.ps1 -Target TARGET `
  -BootImage .\stock_boot.img `
  -DecodedImage .\Image

Les profils générés sont toujours marqués draft. Le lanceur de publication les refuse jusqu’à ce que les offsets spécifiques à l’appareil, les paramètres de course, les portes de restauration, les hashs d’artefacts et la chaîne complète aient été examinés et vérifiés. Voir docs/PORTING.md pour le flux de travail.

Structure du dépôt

Provenance et licence

L’amont principal est NebuSec/CyberMeowfia. Les révisions exactes et les correctifs Linux sont listés dans docs/UPSTREAM.md. Cette adaptation conserve la licence Apache 2.0 amont ; voir LICENSE et NOTICE.