aniketlab/poco-m7-plus-jailbreakRicerca temporanea di root su Poco M7 Plus (SM6375) tramite Qualcomm GBL Exploit (CVE-2026-24088) + Analisi del Kernel GhostLock (CVE-2026-43499)
Avvertenza: Questo documento è scritto puramente per scopi educativi e di ricerca sulla sicurezza. Tutti i test sono stati eseguiti sul mio dispositivo personale. Non sono responsabile per dispositivi brickati, perdita di dati o uso improprio di queste informazioni. Le vulnerabilità discusse qui sono già divulgate pubblicamente e corrette. Non tentare di eseguire queste operazioni su dispositivi che non possiedi.
| File | Descrizione |
|---|---|
| GBL-AutoRoot.bat | Strumento di automazione dell'exploit con un clic (Windows) |
Come usarlo:
GBL-AutoRoot.bat dal link sopraCompatibile con qualsiasi dispositivo Qualcomm ABL affetto da CVE-2026-24088. Se il tuo dispositivo restituisce
OKAY, l'accesso root viene concesso automaticamente.
Questo strumento prende di mira la vulnerabilità Qualcomm ABL (CVE-2026-24088). Se il tuo dispositivo ha un SoC vulnerabile e non ha ancora ricevuto il firmware corretto, questo strumento funzionerà.
| Stato | Dispositivo / Famiglia SoC | Dispositivi di esempio |
|---|---|---|
| ✅ Confermato | Snapdragon 695 (SM6375) | POCO M7 Plus 5G, Redmi 15 5G |
| ⚠️ Potenziale | Snapdragon 8 Gen 3 (SM8650) | Xiaomi 14 / Pro / Ultra, Redmi K70 Pro |
| ⚠️ Potenziale | Snapdragon 8 Gen 2 (SM8550) | Xiaomi 13 / Pro, POCO F5 Pro, Redmi K60 Pro |
| ⚠️ Potenziale | Snapdragon 8+ Gen 1 (SM8475) | Xiaomi 12T Pro, POCO F5 |
| ⚠️ Potenziale | Snapdragon 888 (SM8350) | Mi 11, Mi 11X Pro, POCO F3 |
| ⚠️ Potenziale | Snapdragon 7+ Gen 3 (SM7675) | POCO F6 |
| ⚠️ Potenziale | Snapdragon 7 Gen 3 (SM7550) | Xiaomi Civi 4 |
| ⚠️ Potenziale | Snapdragon 695 5G (SM6375) | POCO X4 Pro 5G, Redmi Note 11 Pro 5G |
| ⚠️ Potenziale | Snapdragon 680 (SM6225) | Redmi Note 11, Redmi 10C |
| ⚠️ Potenziale | Snapdragon 662 (SM6115) | POCO M3, Redmi 9T |
| ❌ Non Supportato | MediaTek (MTK) | POCO X6 Neo, Redmi Note 13 Pro+ |
| ❌ Non Supportato | Firmware Corretto | HyperOS 3.0.304.0+ (Security Patch applicata) |
📢 Test della Community Richiesti: Non ho tutti questi dispositivi disponibili per i test. Se possiedi uno dei dispositivi "Potenzialmente Supportati", ti prego di testare lo strumento e farmi sapere i risultati. Questo mi aiuterà a confermare e ad aggiungere ufficialmente il tuo dispositivo alla lista "Confermato Funzionante"!
| Campo | Valore |
|---|---|
| Dispositivo | Poco M7 Plus 5G (nome in codice: spring) |
| Chipset | Qualcomm SM6375 (Snapdragon 6s Gen 3) |
| Architettura | AArch64, KASLR abilitato |
| SELinux | Enforcing (prima dell'exploit) |
| Bootloader | BLOCCATO |
| Piattaforma di Test | Windows 11, ADB Platform Tools |
| Versione HyperOS | Versione Kernel | Risultato GhostLock | Risultato Exploit GBL |
|---|---|---|---|
| 2.0.202.0 | 6.1.118-android14-11-ga3b9c44908dd-ab13320413 | ❌ Kernel Panic | ✅ Funzionante |
| 2.0.208.0 | 6.1.138-android14-11-g51f8c580613d-ab13911623 | ❌ Kernel Panic | ✅ Funzionante |
Nota di ricerca: Ho inizialmente testato su HyperOS 2.0.202.0 dove GhostLock causava un kernel panic. Ho poi aggiornato a 2.0.208.0 per verificare se la build del kernel più recente (6.1.118 -> 6.1.138) avrebbe risolto l'instabilità di GhostLock. Il panic è persistito - entrambe le build condividono la stessa struttura interna
pselect/fd_setdel kernel 6.1 che GhostLock non è in grado di gestire. L'exploit GBL ha funzionato su entrambe le versioni.
Durante questa ricerca, ho testato due percorsi di exploit indipendenti per ottenere root temporaneo su questo dispositivo senza sbloccare il bootloader:
| Approccio A: Exploit GBL | Approccio B: GhostLock | |
|---|---|---|
| Livello | Bootloader (ABL/fastboot) | Kernel (Linux 6.1) |
| CVE | CVE-2026-24088 | CVE-2026-43499 |
| Risultato su questo dispositivo | ✅ Funzionante | ❌ Kernel Panic |
| Tipo di root | Temporaneo (tethered) | Temporaneo (tethered) |
| Richiede ADB? | Sì (modalità fastboot) | Sì (accesso shell) |
| Sensibile alla versione del kernel? | No | Sì - stabile solo su 6.6-6.12 |
L'exploit GBL ha funzionato. GhostLock ha fallito con un kernel panic a causa di una mancata corrispondenza della versione del kernel. Entrambi i risultati sono documentati in dettaglio di seguito.
CVE-2026-24088 colpisce l'Android Boot Loader (ABL) di Qualcomm su più dispositivi.
Jan 2026 -> Vulnerability discovered during ABL unpacking & analysis
Feb 2026 -> Qualcomm patches: QcomModulePkg: Fix propagation of untrusted input into kernel cmdline
Mar 2026 -> Public PoC released; Xiaomi begins rolling out HyperOS 3.0.304.0 (patched)
Jun 2026 -> CVE-2026-24088 officially assigned in Qualcomm Security Bulletin
L'exploit funziona come una catena a tre stadi a livello di bootloader:
In Android 16, l'ABL di Qualcomm carica il Generic Bootloader (GBL) dalla partizione efisp. Il difetto critico: l'ABL verifica solo se il binario è un'applicazione UEFI valida - NON ne verifica la firma crittografica. Ciò significa che un'applicazione UEFI personalizzata e non firmata può essere inserita in efisp e verrà eseguita allo stadio di bootloader con privilegi completi.
Il comando fastboot oem set-gpu-preemption manca di sanitizzazione dell'input. L'ABL concatena direttamente l'argomento fornito nella command-line del kernel senza filtraggio.
Passando androidboot.selinux=permissive come argomento aggiuntivo:
fastboot oem set-gpu-preemption 0 androidboot.selinux=permissive
...il bootloader scrive androidboot.selinux=permissive nella cmdline del kernel, che il processo init di Android legge all'avvio - disabilitando di fatto l'applicazione di SELinux.
Un'applicazione UEFI personalizzata inserita in efisp può impostare i flag is_unlocked e is_unlocked_critical per sbloccare permanentemente il bootloader. (Questo passaggio NON è stato testato - comporta un elevato rischio di brick.)
⚠️ Fermati prima di procedere: esegui prima il controllo delle patch nella Sezione 7. Se il tuo dispositivo è patchato, nulla di tutto ciò funzionerà.