OnePlus 13 (OP5D0DL1) CVE-2026-64560

以下に示す正確な OnePlus 13 (PJZ110) ビルド向けに、CVE-2026-64560 Android 実証コードをデバイス固有に適応させたものです。ADB シェルのみで動作するヘルパーを通じて、現在のブートに対する一時的な root アクセスを提供します。

[!WARNING] これは実験的なカーネルエクスプロイトコードです。デバイスを再起動させたり、カーネル状態を破壊したり、データ損失を引き起こす可能性があります。所有しているデバイス、または明示的にテストを許可されたデバイスでのみ使用してください。まず重要なデータをバックアップしてください。

対応ターゲット

このリポジトリはカーネルイメージを対象とし、そのプロファイルはビルドフィンガープリントを対象としています。OTA は一方を変更しても他方を変更しない可能性があります。以下の両ビルドはバイト単位で同一のカーネルを搭載しているため、すべてのオフセットを共有し、デバイスゲート文字列のみが異なります。docs/BUILDS.md は新しいイメージのためのインデックスと決定木です — まずそこから始めてください。

ランナーは予期しないフィンガープリントを拒否し、実行前に同梱されたすべてのペイロードを検証します。このリポジトリにはファームウェアイメージ、デバイスキー、デバイス固有のシークレットは含まれていません。

使用方法

要件:

• PATH に adb が通った Android Platform Tools
• USB デバッグが有効化および承認済み
• 熱的余裕: 55 °C を超えて開始した試行ははるかに失敗しやすく、キャンペーンは期待するのではなくそれが収まるのを待ちます

リポジトリのルートから:

sh scripts/boot-campaign.sh -s <serial> -p bin/cve-2026-64560-fanout-op13-cp2a.260605.016 -n 10

ROOT_SUCCESS の後、任意の新しいターミナルで一時的な root シェルを開けます:

adb -s <serial> shell -T /data/local/tmp/su

id を実行して uid=0(root) を確認してください。アクセスは現在のブートのみ有効です。再起動後に再実行してください。boot、vendor、system パーティションは変更されません。

このエクスプロイトには確率的なカーネルレースが含まれています。チェーンはブリッジ段階に確実に到達し、その読み取りゲートを約 8 回に 1 回のブートでクリアするため、ブートの空振りは何かが壊れている証拠にはなりません — ブートを予算化し、失敗シグナルのように見えてそうではない唯一のカウンタについては docs/BUILDS.md を参照してください。

scripts/boot-campaign.sh は POSIX sh によるランナーループで、scripts/root.ps1 の PowerShell ホストが利用できないホスト向けです。どちらも同じゲートを適用します。

ビルド

Android NDK r29 と API 35 が再現可能ビルドのデフォルトです。NDK はデフォルトでは存在しないため、そのルートを渡してください:

.\scripts\build.ps1 -Profile profiles\op13\CP2A.260605.016.json -NdkRoot <path-to-ndk>

このスクリプトはエクスプロイト戦略と一時 su ヘルパーをビルドし、出力をストリップし、固定された SHA-256 値を検証します。

rotate はビルドされますが、意図的に昇格されていません: このデバイスでカーネルをダウンさせ、タイマー再調整以降再検証されていません。

別のビルドへの移植

python tools/extract_image.py <boot.img> <out>   # compare the Image digest first
python tools/port_target.py --profile profiles/op13/<BUILD>.json

ビルドが所有するものはすべてビルドにちなんで命名されるため、1 つのデバイスの 2 つのビルドが衝突することはありません。決定木については docs/BUILDS.md を、完全なチェックリストについては docs/PORTING.md を参照してください。

リポジトリ構成

クレジット

このリポジトリが適応させたエクスプロイトフレームワーク — エクスプロイトソース、資格情報と復元の段階、一時 su ヘルパー、再現可能ビルド、適応型ランナー、移植ツールキット — は Xiaomi 15 dada 適応版に由来します:

• https://github.com/quyicheng03-boop/xiaomi15-dada-cve-2026-64560

ここでの OnePlus 13 のオフセット、レースチューニング、検証は持ち越されたものではなくこのデバイス上で測定されました。2 つのカーネルターゲットは異なるイメージであるため、ほぼすべてのアドレスが異なります。dada プロファイルとペイロードは、フレームワークが元々検証された参照として保持されています。

元の実証コード、および脆弱性そのものは、両者の上流にあります:

• NebuSec/CyberMeowfia

正確なリビジョンと Linux の修正は docs/UPSTREAM.md に記載されています。

ライセンス

Apache License 2.0、上流の作業から継承されています。LICENSE と NOTICE を参照してください。