Redmi K50 Gaming (ingres) — CVE-2026-43499 (GhostLock) अस्थायी Root PoC

बिना BL अनलॉक किए एक-क्लिक अस्थायी Root। GhostLock (CVE-2026-43499, futex PI Use-After-Free) स्थानीय विशेषाधिकार वृद्धि श्रृंखला का उपयोग करके root एंकर प्राप्त करें, फिर KernelSU 3.2.5 late-load विधि से kernelsu मॉड्यूल को चालू कर्नेल में माउंट करें, और KSU मॉड्यूल के साथ SELinux Permissive बनाए रखें और नेटवर्क ठीक करें।

लक्ष्य डिवाइस: Redmi K50G / POCO F4 GT — कोडनेम ingres, SoC SM8450 (Snapdragon 8 Gen 1) सिस्टम: Android 14, UKQ1.240624.001, कर्नेल 5.10.209-android12 (KMI android12-5.10) स्थिति: ✅ वास्तविक डिवाइस पर अस्थायी Root सफलतापूर्वक सत्यापित

1. फ़ाइल विवरण

2. सफलता विधि / विशेषाधिकार वृद्धि श्रृंखला

पूरी श्रृंखला चार चरणों में विभाजित है:

1. GhostLock UAF ट्रिगर (CVE-2026-43499)
   • futex PI रिंग टोपोलॉजी (FUTEX_WAIT_REQUEUE_PI + FUTEX_CMP_REQUEUE_PI) से कर्नेल स्टैक पर लटकता हुआ rt_mutex_waiter बनाएं;
   • कर्नेल स्टैक स्टैम्प (sysctl पथ आदि) का उपयोग करके नकली waiter फ़ील्ड को मुक्त किए गए स्थान पर ओवरराइट करें;
   • उपभोक्ता थ्रेड rt_mutex_adjust_prio_chain ट्रैवर्सल ट्रिगर करके नियंत्रित कर्नेल रीड/राइट प्रिमिटिव प्राप्त करें।
2. कर्नेल एंकर root
   • राइट प्रिमिटिव के माध्यम से cred इंजेक्ट करें (uid/gid=0, पूर्ण caps, kernel SID), एक root एंकर प्रोसेस प्राप्त करें (रन लॉग में anchor: ROOT uid=0);
   • एंकर के भीतर fork: root shell (SHELL_ROOT=1) और su daemon (SU_DAEMON=1, /data/local/tmp/su)।
3. KernelSU late-load
   • कर्नेल मॉड्यूल kernelsu.ko को libksud.so late-load --kmi 5.10.209-android12 के माध्यम से चालू कर्नेल में लोड करें (फ्लैशिंग/बूट इमेज पैच की आवश्यकता नहीं, डिवाइस के वर्तमान KMI से सटीक मिलान);

3. उपयोग विधि

विधि A: Windows एक-क्लिक (अनुशंसित)

1. फोन में डेवलपर विकल्प + USB डिबगिंग चालू करें, कंप्यूटर से कनेक्ट करें;
2. Root-K50G.bat पर डबल-क्लिक करें;
3. संकेत मिलने पर फोन पर USB डिबगिंग प्राधिकरण की अनुमति दें;
4. विशेषाधिकार वृद्धि में लगभग 1~3 मिनट लगते हैं, पूरा होने पर वर्तमान adb सत्र सीधे root shell बन जाता है, id दर्ज करके uid=0(root) सत्यापित करें;
5. /data/local/tmp/su -c id से भी सत्यापित किया जा सकता है।

विधि B: मैनुअल adb

adb push exploit /data/local/tmp/exploit
adb push ksu_loader.sh /data/local/tmp/ksu_loader.sh
adb shell chmod 755 /data/local/tmp/exploit /data/local/tmp/ksu_loader.sh

adb shell "env NO_COLOR=1 SE_LINUX=1 KSU_LOADER=1 SHELL_ROOT=1 SU_DAEMON=1 SUSPECT_CPU=99999 KS_MAX_TRIES=8 /data/local/tmp/exploit"

चलाने के बाद सत्यापित करें:

adb shell /data/local/tmp/su -c id
# uid=0(root) gid=0(root) ...

4. पर्यावरण चर

5. सावधानियां

• नेटवर्क कटौती हैंडलिंग: KSU द्वारा Enforcing पर वापस जाने से नेटवर्क कटने पर, chuxin_permissive_netfix मॉड्यूल की service.sh स्वचालित रूप से गुण रीसेट करेगी और netd पुनः आरंभ करेगी (LSPosed आदि मॉड्यूल फ्लैश करने के बाद भी प्रभावी);
• Root अस्थायी है: रीबूट के बाद अमान्य हो जाता है, विशेषाधिकार वृद्धि दोबारा चलानी होगी; SELinux Permissive KSU मॉड्यूल द्वारा बूट के बाद स्वचालित रूप से बहाल हो जाता है;
• इस विधि के लिए Bootloader अनलॉक करने की आवश्यकता नहीं है, और न ही फ्लैशिंग की आवश्यकता है।

6. अस्वीकरण

इस रिपॉजिटरी की सामग्री केवल सुरक्षा अनुसंधान और व्यक्तिगत डिवाइस परीक्षण के लिए है। विशेषाधिकार वृद्धि/सिस्टम स्थिति संशोधन में कुछ जोखिम शामिल हैं, अनुचित संचालन से डिवाइस ब्रिक या डेटा हानि हो सकती है। कृपया सिद्धांत को पूरी तरह समझने और परिणामों की जिम्मेदारी स्वयं लेने के बाद ही उपयोग करें, अवैध उद्देश्यों के लिए उपयोग न करें।

संदर्भ: CVE-2026-43499 (GhostLock) — Linux कर्नेल futex प्राथमिकता इनहेरिटेंस UAF, कर्नेल 2.6.39 ~ 7.1 को प्रभावित करता है, स्थानीय विशेषाधिकार वृद्धि संभव है।