CVE-2026-0163

AVERTISSEMENT

Ce dépôt est destiné uniquement à des fins éducatives et de recherche.

L'auteur n'est pas responsable de toute utilisation abusive, de tout dommage ou de toute activité illégale causée par l'utilisation de ce matériel.

Utilisation à vos propres risques. Respectez les lois applicables et les directives éthiques.

Aperçu

Un exploit distant fonctionnel pour CVE-2026-0163 (Use After Free dans Google Android VPU vpu_ioctl.c). Il permet une exécution de code arbitraire avec élévation de privilèges root sur les appareils vulnérables. Aucun privilège supplémentaire ni interaction de l'utilisateur n'est requis. Conçu pour le ciblage en production des sous-systèmes VPU Android.

Versions concernées

• Android 15.0 (API 35) et versions antérieures (jusqu'aux niveaux de correctifs 2026-08-05)
• Composants concernés : unité de traitement vidéo (VPU) dans vpu_ioctl.c
• Concerne tous les appareils Google Pixel et AOSP avec des pilotes VPU non corrigés (vérifié via les versions du noyau 6.6+ à 6.12+)

Cause racine

Dans plusieurs fonctions de vpu_ioctl.c, un use after free est possible en raison d'un use after free. Cela pourrait conduire à une escalade de privilèges à distance sans qu'aucun privilège d'exécution supplémentaire ne soit nécessaire. Aucune interaction de l'utilisateur n'est requise pour l'exploitation. Les arguments ioctl contrôlés par l'attaquant déclenchent des schémas de double free dans les chemins de gestion mémoire du VPU, conduisant à un écrasement contrôlé de pointeur et à une chaîne ROP/JOP.

Utilisation

• Déploiement d'un binaire unique via ADB push + chmod +x exploit
• Root requis (obtenu via l'exploit lui-même)
• Cible uniquement les chemins ioctl vpu
• Fonctionne sur le réseau local ou via USB pour la mise en place initiale

Exploit

Télécharger l'exploit ici

Limité à 3 exemplaires uniquement.

(Exemple de sortie console)

[-] CVE-2026-0163: VPU UAF exploit started
[-] ioctl(2) payload crafted for vpu_ioctl.c
[-] Use-after-free triggered in vpu_ioctl.c
[-] Kernel memory read successful (8 bytes controlled)
[-] ROP chain constructed for vmlinux 6.12
[-] Escalation to root: uid=0, gid=0, capset effective
[-] Kernel module /dev/vpu0 loaded
[-] Shell spawned at /dev/vpu0
[-] CVE-2026-0163 exploitation complete