Redmi K50 Gaming (ingres) — PoC Root temporaneo per CVE-2026-43499 (GhostLock)

Root temporaneo con un clic senza sbloccare il bootloader. Sfrutta la catena di escalation locale GhostLock (CVE-2026-43499, futex PI Use-After-Free) per ottenere un ancoraggio root, quindi carica il modulo kernelsu nel kernel in esecuzione tramite KernelSU 3.2.5 late-load, mantenendo SELinux Permissive e riparando la rete con i moduli KSU.

Dispositivo target: Redmi K50G / POCO F4 GT — nome in codice ingres, SoC SM8450 (Snapdragon 8 Gen 1) Sistema: Android 14, UKQ1.240624.001, kernel 5.10.209-android12 (KMI android12-5.10) Stato: ✅ Root temporaneo verificato su dispositivo reale

1. Descrizione dei file

2. Metodo di successo / catena di escalation

L'intera catena si compone di quattro passaggi:

1. Trigger UAF GhostLock (CVE-2026-43499)
   • Topologia circolare futex PI (FUTEX_WAIT_REQUEUE_PI + FUTEX_CMP_REQUEUE_PI) per creare un rt_mutex_waiter pendente sullo stack del kernel;
   • Usa uno stamp dello stack del kernel (percorsi sysctl, ecc.) per sovrascrivere i campi del waiter contraffatto nella posizione liberata;
   • Il thread consumer attiva la scansione rt_mutex_adjust_prio_chain, ottenendo primitive controllate di lettura/scrittura nel kernel.
2. Ancoraggio root nel kernel
   • Tramite la primitiva di scrittura inietta cred (uid/gid=0, caps complete, SID kernel), ottenendo un processo ancoraggio root (anchor: ROOT uid=0 nei log);
   • All'interno dell'ancoraggio fork: root shell (SHELL_ROOT=1) e su daemon (SU_DAEMON=1, /data/local/tmp/su).
3. KernelSU late-load
   • Il modulo kernel kernelsu.ko viene caricato nel kernel in esecuzione tramite (senza flashare/patchare l'immagine boot, corrispondenza esatta con il KMI corrente del dispositivo);

3. Istruzioni d'uso

Metodo A: Windows con un clic (consigliato)

1. Attiva le opzioni sviluppatore + debug USB sul telefono e collegalo al PC;
2. Fai doppio clic su Root-K50G.bat;
3. Segui le istruzioni e autorizza il debug USB sul telefono;
4. L'escalation richiede circa 1~3 minuti; al termine la sessione adb corrente diventa direttamente root shell; digita id per verificare uid=0(root);
5. Puoi anche verificare con /data/local/tmp/su -c id.

Metodo B: adb manuale

adb push exploit /data/local/tmp/exploit
adb push ksu_loader.sh /data/local/tmp/ksu_loader.sh
adb shell chmod 755 /data/local/tmp/exploit /data/local/tmp/ksu_loader.sh

adb shell "env NO_COLOR=1 SE_LINUX=1 KSU_LOADER=1 SHELL_ROOT=1 SU_DAEMON=1 SUSPECT_CPU=99999 KS_MAX_TRIES=8 /data/local/tmp/exploit"

Al termine, verifica:

adb shell /data/local/tmp/su -c id
# uid=0(root) gid=0(root) ...

4. Variabili d'ambiente

5. Note

• Gestione perdita di rete: se la rete si interrompe perché KSU riporta Enforcing, il service.sh del modulo chuxin_permissive_netfix resetta automaticamente gli attributi e riavvia netd (funziona anche dopo il flash di moduli come LSPosed);
• Il Root è temporaneo: si perde al riavvio, è necessario rieseguire l'escalation; la modalità permissiva di SELinux viene ripristinata automaticamente dal modulo KSU all'avvio;
• Questa soluzione non richiede lo sblocco del Bootloader né il flash del firmware.

6. Disclaimer

Il contenuto di questo repository è destinato esclusivamente a ricerca sulla sicurezza e test su dispositivi personali. L'escalation dei privilegi e la modifica dello stato di sistema comportano alcuni rischi; un uso improprio può causare il brick del dispositivo o la perdita di dati. Utilizzare solo dopo aver compreso appieno i principi e assumendosi le proprie responsabilità; non utilizzare per scopi illegali.

Riferimento: CVE-2026-43499 (GhostLock) — UAF nell'ereditarietà di priorità futex del kernel Linux, impatta i kernel 2.6.39 ~ 7.1, consente escalation locale dei privilegi.