GhostLock 5.10

Questo è un exploit del kernel per Amazon Fire Max 11 (sunstone) e Fire TV Stick 4K Max 2nd Gen / 2023 (karat), adattato da CVE-2026-43499 in CyberMeowfia.

Dispositivi supportati

Sono supportati due dispositivi, entrambi con Fire OS 8. Ciascuno ha il proprio target di build.

Fire Max 11 (sunstone)

Fire TV Stick 4K Max 2nd Gen (karat)

Compilazione

Richiede GNU Make e Android NDK r29.

make                 # Fire Max 11 (sunstone), il default
make PROJECT=karat   # Fire TV Stick 4K Max 2nd Gen

Oppure crea uno zip distribuibile, che gestisce tutto per te:

./makedist.sh                 # sunstone
PROJECT=karat ./makedist.sh   # karat

Il risultato viene scritto in dist/ghostlock-<project>-v<version>.zip, dove la versione proviene dal file VERSION (sovrascrivibile con VERSION=x.y.z ./makedist.sh).

Utilizzo

./root.sh

Su Windows, esegui root.bat.

Lo script riavvia il dispositivo, esegue l'exploit e ti porta in una shell di root al termine. Se fallisce, riprova automaticamente fino a 8 volte.

Se il dispositivo è collegato via USB, lo script disattiva anche il Wi-Fi a ogni tentativo, rendendo l'exploit notevolmente più affidabile.

In caso di successo, vedrai un prompt di shell di root come questo:

root@sunstone:/ #

Nelle versioni più recenti di Fire OS, Amazon ha aggiunto KASLR, quindi potrebbe volerci qualche minuto per completare l'esecuzione. Sii paziente. Una volta attivo, su funziona da qualsiasi adb shell fino al riavvio successivo.

C'è anche una bind shell su 127.0.0.1:9999, mantenuta aperta finché dura il root. Il modo più semplice per accedervi è eseguire nc sul dispositivo stesso:

adb shell -t "nc 127.0.0.1 9999"

Oppure inoltra la porta e connettiti dall'host:

adb forward tcp:9999 tcp:9999
stty raw -echo; nc 127.0.0.1 9999; stty sane

[!CAUTION] Mentre sei root, il nostro dispositivo usa ancora dm-verity, quindi qualsiasi modifica alle partizioni system/vendor/etc. comporterà un brick.

Danneggiare partizioni critiche come LK, TEE o Preloader comporterà anch'esso un brick. Usa questo exploit a tuo rischio.

Shell LM

Sul Fire TV Stick, una seconda shell di root grezza viene aperta su 127.0.0.1:9060 per Launcher Manager.

LM normalmente avvia il proprio processo come utente di sistema, ma riutilizza la porta se è già aperta, quindi se l'exploit tiene occupata la 9060 con una shell di root, dovrebbe operare come root invece.

Esegui prima l'exploit così da occupare la porta, poi (ri)avvia LM.

OTA

Gli aggiornamenti OTA vengono disabilitati automaticamente non appena il root ha successo. Un singolo OTA può portarti a una build non supportata qui, o che corregge l'exploit.

I pacchetti esatti differiscono tra il tablet e il Fire TV Stick; l'exploit sceglie il set giusto in base al dispositivo. Cerca le righe OTA: pm ... ok nell'output per confermare.

Se un passaggio riporta not applied, eseguilo tu stesso dalla shell di root.

Sul Fire Max 11 (sunstone):

pm disable com.amazon.device.software.ota
pm disable com.amazon.kindle.otter.oobe.forced.ota
sync

Sul Fire TV Stick (karat):

pm disable com.amazon.device.software.ota
pm clear com.amazon.device.software.ota
pm disable com.amazon.device.software.ota.override
pm disable-user com.amazon.sneakpeek
pm disable com.amazon.client.metrics
sync

Questo sopravvive ai riavvii ma non a un ripristino di fabbrica. Per riabilitare, esegui pm enable (o pm enable-user) sugli stessi pacchetti da una shell di root.

Crediti

• CyberMeowfia: exploit originale IonStack (CVE-2026-43499)
• IonStackQuest3: primo port pubblico per kernel 5.10
• Pro-me3us: raccolta URL firmware karat
• sweenwolf: Launcher Manager, usato sui FTV