GhostLock 5.10

Ceci est un exploit root au niveau du noyau pour l'Amazon Fire Max 11 (sunstone) et le Fire TV Stick 4K Max 2e génération / 2023 (karat), adapté de CVE-2026-43499 dans CyberMeowfia.

Appareils pris en charge

Deux appareils sont pris en charge, tous deux sous Fire OS 8. Chacun dispose de sa propre cible de compilation.

Fire Max 11 (sunstone)

Fire TV Stick 4K Max 2e génération (karat)

Compilation

Nécessite GNU Make et Android NDK r29.

make                 # Fire Max 11 (sunstone), the default
make PROJECT=karat   # Fire TV Stick 4K Max 2nd Gen

Vous pouvez également générer une archive zip distribuable, qui s'occupe de tout pour vous :

./makedist.sh                 # sunstone
PROJECT=karat ./makedist.sh   # karat

Le résultat est écrit dans dist/ghostlock-<date>.zip.

Utilisation

./root.sh

Sous Windows, exécutez root.bat.

Le script redémarre l'appareil, exécute l'exploit et vous place dans un shell root une fois terminé. En cas d'échec, il réessaie automatiquement jusqu'à 8 fois.

En cas de succès, vous verrez une invite de shell root comme celle-ci :

root@sunstone:/ #

Sur les versions plus récentes de Fire OS, Amazon a ajouté KASLR, donc l'exécution complète peut prendre quelques minutes. Soyez patient. Une fois en place, su fonctionne depuis n'importe quel adb shell jusqu'au prochain redémarrage.

Il existe également un bind shell sur 127.0.0.1:9999, maintenu ouvert tant que dure le root. Le moyen le plus simple d'y entrer est d'exécuter nc sur l'appareil lui-même :

adb shell -t "nc 127.0.0.1 9999"

Ou redirigez le port et connectez-vous depuis l'hôte :

adb forward tcp:9999 tcp:9999
stty raw -echo; nc 127.0.0.1 9999; stty sane

[!CAUTION] Tant que vous êtes root, l'appareil utilise toujours dm-verity : toute modification des partitions system/vendor/etc. entraînera un brick.

Endommager des partitions critiques telles que LK, TEE ou Preloader entraînera également un brick. Utilisez cet exploit à vos propres risques.

Shell LM

Sur le Fire TV Stick, un second shell root brut est ouvert sur 127.0.0.1:9060 pour Launcher Manager.

LM lance normalement le sien en tant qu'utilisateur système, mais il réutilise le port s'il est déjà ouvert ; ainsi, si l'exploit occupe le 9060 avec un shell root, LM devrait fonctionner en root à la place.

Exécutez d'abord l'exploit afin qu'il s'approprie le port, puis (re)lancez LM.

Mises à jour OTA

Les mises à jour OTA sont désactivées automatiquement dès que le root réussit. Une simple OTA peut vous faire passer vers une version non prise en charge ici, ou qui corrige l'exploit.

Les paquets exacts diffèrent entre la tablette et le Fire TV Stick ; l'exploit sélectionne le bon ensemble en fonction de l'appareil. Recherchez les lignes OTA: pm ... ok dans la sortie pour confirmer.

Si une étape indique not applied, exécutez-la vous-même depuis le shell root.

Sur le Fire Max 11 (sunstone) :

pm disable com.amazon.device.software.ota
pm disable com.amazon.kindle.otter.oobe.forced.ota
sync

Sur le Fire TV Stick (karat) :

pm disable com.amazon.device.software.ota
pm clear com.amazon.device.software.ota
pm disable com.amazon.device.software.ota.override
pm disable-user com.amazon.sneakpeek
pm disable com.amazon.client.metrics
sync

Cette désactivation survit aux redémarrages, mais pas à une réinitialisation d'usine. Pour les réactiver, exécutez pm enable (ou pm enable-user) sur les mêmes paquets depuis un shell root.

Crédits

• CyberMeowfia : exploit IonStack original (CVE-2026-43499)
• IonStackQuest3 : premier port public pour les noyaux 5.10
• Pro-me3us : collecte d'URL de firmware karat
• sweenwolf : Launcher Manager, utilisé sur les Fire TV