Amazon Fire TV Stick 第3世代(sheldonp)におけるCVE-2026-43499

Linuxカーネルの権限昇格をプリローダーダウングレードとブートローダーアンロックへと連鎖させる。

概要

本リポジトリは、Amazon Fire TV Stick 第3世代(sheldonp)上でのCVE-2026-43499エクスプロイトチェーンの、私による許可された再現を記録したものである。このチェーンでは、一時的なカーネルrootを用いて制御されたプリローダーダウングレードを実行し、その後、既存のKamakiri BootROMワークフローを用いてアンロック済みfastbootに到達し、ブートローダーアンロックを完了した。

これは再現およびデバイス固有のケーススタディである。私はCVE-2026-43499を発見したわけでも、オリジナルのIonStack/GhostLockエクスプロイトを作成したわけでも、Kamakiriを開発したわけでもない。上流の研究者および開発者については以下にクレジットを記載する。

[!IMPORTANT] 本記事は技術記録であり、万能なroot化ガイドではない。ビルドの互換性が重要であり、一時rootは永続rootではない。また、Preloader、LK、TEE、あるいはdm-verityで保護されたパーティションに関するミスは、デバイスを恒久的に文鎮化させる可能性がある。

再現記録

エンドツーエンドのチェーンは2026年9月12日に完了した。本リポジトリは、テストしたデバイスとソフトウェアのバージョン、使用した正確なアーカイブ、それらのSHA-256ハッシュ、およびプロセス中に取得したオリジナルの証拠を記録している。

スコープ

スコープ外: 脆弱性の発見、新しいエクスプロイトの実装、リモートエクスプロイト、永続root、またはテストしたsheldonp実機以外のデバイスのサポート。本再現ではカスタムROMはインストールしなかった。

再現アーカイブ

以下は本再現で使用した正確なZIPアーカイブである。アーカイブは本リポジトリでは再配布しない。SHA-256ハッシュを記録しているので、独立に入手したコピーを本ケーススタディで使用したファイルと比較できる。

これらのハッシュは本ケーススタディで使用したコピーを識別するものである。読者は自身のダウンロードを元の上流ソースと比較し、該当するサードパーティライセンスを確認すべきである。

技術的背景

CVE-2026-43499はGhostLockとしても知られ、Linuxカーネルの優先度継承futex/rtmutexパスにおけるuse-after-freeである。プロキシロックのロールバック中に、remove_waiter()がwaiter->taskに格納されたタスクではなくcurrentを操作した。その結果、実際のwaiterは、解放されたカーネルスタックフレーム内のrt_mutex_waiterをpi_blocked_onが依然として参照したまま、ユーザー空間へ戻ることができた。

オリジナルのIonStack研究は、このダングリングスタック参照をローカル権限昇格プリミティブへと変える。R0rt1z2はこの手法を、4.4カーネル上でFire OS 7を実行するFire TV Stick 第3世代およびFire TV Stick Lite(sheldonp/sheldon)に適合させた。

本ケーススタディにおける重要な違いは、CVE-2026-43499がブートローダーを直接アンロックするわけではないという点である。これは一時的なカーネルレベルのアクセスを提供する。その短命なアクセスにより、古いKamakiri BootROMチェーンを実行する前に必要となる、制御されたプリローダーダウングレードを実行することが可能になる。

エクスプロイトチェーン

flowchart LR
    A[Fire OS 7 on sheldonp] --> B[CVE-2026-43499 / GhostLock]
    B --> C[Temporary root shell]
    C --> D[Controlled preloader downgrade]
    D --> E[Expected non-booting transition state]
    E --> F[Kamakiri BootROM stage]
    F --> G[Unlocked fastboot]
    G --> H[Bootloader unlocked]

このチェーンは2つの別個のセキュリティ境界を越える:

1. カーネル境界: 非特権のローカルプロセスがGhostLockを通じて一時的なrootコンテキストを獲得する。
2. ブートチェーン境界: 一時rootが、互換性のあるプリローダーを復元することで、既知のBootROMベースのアンロックパスに向けてデバイスを準備する。

手法

1. ベースラインの確立

デバイスを変更する前に、ハードウェアのコードネームを特定し、ADB経由でFire OS、ビルド、ブートローダー、カーネルのバージョンを記録した。

adb devices -l
adb shell getprop ro.product.device
adb shell getprop ro.product.model
adb shell getprop ro.build.version.release
adb shell getprop ro.build.version.incremental
adb shell getprop ro.build.fingerprint
adb shell getprop ro.bootloader
adb shell uname -a
adb shell id

得られたベースラインはsheldonp / AFTSSS、Fire OS PS7716.5666N、インクリメンタル0036005356164、Android 9、カーネル4.4.162+であった。シリアル番号は意図的に省略している。

2. GhostLockによる一時rootの取得

ADBデバッグを有効にしてFire TVをUSB接続し、R0rt1z2のXDAガイドで公開されているsheldon/sheldonpパッケージであるGhostLock 1.1.0を使用した。デバイス固有のランチャーは、Fire TVを再起動してクリーンな状態から開始し、エクスプロイトを展開し、必要に応じて再試行する。

エクスプロイトが成功すると、一時的なroot環境が作成される。私はスクリプトの完了だけを証拠として扱うのではなく、ADBシェルからセキュリティコンテキストを検証した:

adb shell
su
id

rootコンテキストは一時的であり、再起動で失われる。この挙動は重要である。このステージはダウングレードのための有効化プリミティブであり、最終的な永続化メカニズムやブートローダーアンロックそのものではない。

成功した実行ではuid=0が表示され、一時環境のためにSELinuxがpermissiveに変更され、一時的なsuがマウントされ、ツールが扱うFire OSのOTAパッケージが無効化された。

GhostLockエクスプロイトの完全なトレースも補足証拠として保持している。

3. プリローダーのダウングレード

一時rootが利用可能な状態で、ファームウェアパーティションを手動で書き込むのではなく、パッケージ専用のダウングレードワークフローを使用した。これにより、既存のKamakiriパスと互換性のあるプリローダーが復元された。

ダウングレード後、Fire TVは意図的にFire OSへの起動を停止した。この特定のワークフローでは、この起動しない状態は、ライブカーネルステージとUSB BootROMステージの間の想定された引き継ぎである。これは、任意の失敗したフラッシュが復旧可能であることの証拠と混同してはならない。

[!CAUTION] Preloaderを絶対に消去しないこと。LK、TEE、Preloader、boot、recovery、system、vendor、その他の保護されたパーティションへの書き込みを即興で行わないこと。上流のガイドは、重要なファームウェアへの損傷が恒久的なハードブリックを引き起こす可能性があると警告している。なぜなら、機能する復旧パスが残らない可能性があるからである。

4. Kamakiri BootROMチェーンの実行

このデバイスに使用したKamakiriワークフローは、Linux向けにサポートおよび文書化されていた。したがって、Ubuntu Liveセッションを起動し、ホストにUbuntuをインストールすることなく、低レベルのUSB BootROMステージを含む完全なアンロックワークフローをそこで実行した。このステージはWindowsやmacOSではテストしていない。

アンロックガイドで参照されているsheldon/sheldonp Kamakiriパッケージを使用し、プロセスは以下の通りであった:

1. Kamakiriに必要なPython、PySerial、PyUSB、ADB、Fastboot、およびUSB環境を準備する。
2. bootrom-step.shを起動し、電源オフのFire TVをUSB接続する。
3. BootROMステージを完了させ、デバイスを改造済みfastboot環境へ移行させる。
4. fastboot-step.shを実行してアンロックワークフローを完了する。
5. 再起動し、想定されたアンロック済みブートパスが利用可能であることを検証する。

Kamakiriは実機をsheldonpとして検出し、RPMBダウングレードを完了し、チェーンに必要なTZ/LKコンポーネントをフラッシュし、microloaderを注入し、デバイスをハック済みfastbootモードへ強制した。

アーカイブのハッシュとUbuntuリリースは上記に記録している。読者は、これらの高レベルの手順が別のビルドに適用されると仮定するのではなく、バージョン固有の手順についてリンクされた上流ガイドを使用すべきである。

5. 結果の検証

以下を別個のマイルストーンとして扱い、それぞれの証拠を取得した:

6. Fire OSの保持とアンロック後の状態調整

私の目標は、すぐにカスタムROMをインストールするのではなく、ストックのFire OSを保持することであった。TWRPではデータのワイプやOSの置き換えを避け、既存のFire OSインストールへ再起動した。ストックのユーザー環境を保持しつつ、TWRPとアンロック済みブートパスは利用可能なままであった。

Fire OSに戻った後、Amazonがエクスプロイトを変更したり復旧したブートチェーンを改変したりするビルドへデバイスをサイレントに移行できないよう、OTA更新を無効のままにした。また、Fire TVコミュニティのツールで一般にARCUSと呼ばれるAmazonのシステムアプリ保護コンポーネントも無効化した。これはAmazonのOSレベルのアプリブロック挙動を変更するものであり、Widevine、サブスクリプション確認、または個々のアプリケーション内で実装されたライセンス執行を回避するものではない。

任意の次のステップ

アンロック済みブートローダーとTWRPがあれば、互換性のあるカスタムソフトウェアをインストールすることも可能になる。このデバイスファミリー向けのコミュニティオプションの1つはAndroid 13ベースのLineageOS 20である。他の互換ROM、リカバリワークフロー、または永続root構成も可能かもしれない。

これらの代替案は本再現の一部ではなかった。それらは独自のファームウェア、TZ、データワイプ、DRM、メモリ、およびリカバリの考慮事項を伴う別個の手順として扱うべきである。

所見

• 有線USB ADB接続が望ましい。エクスプロイトの再試行がターゲットを再起動し、ワイヤレスADBを中断する可能性があるためである。
• エクスプロイトの信頼性はターゲットとビルドに依存する。再試行や再起動はデバイスが非対応である証拠ではないが、オフセットとビルドの互換性は依然として検証する必要がある。
• 一時rootステージとKamakiriステージは異なる問題を解決するものであり、独立して文書化すべきである。
• ダウングレード後の想定された起動しない状態は、ダウングレードツールが成功を報告し、正確にサポートされたワークフローに従っている場合にのみ意味を持つ。
• スクリプトの正常終了は、取得したデバイス状態、root ID、およびfastboot/リカバリの検証よりも弱い証拠である。
• ブートローダーのアンロックはFire OSの置き換えを必要としなかった。ストックのFire OSを保持することは、アンロック後の意図的な選択であった。
• ARCUSの無効化はAmazonのアプリブロック層に影響するが、アプリケーションのDRMとコンテンツライセンスは別個の関心事である。

セキュリティへの影響

脆弱でサポートされたFire OSビルドでは、デバイス上で既にローカルに実行されているコードが、カーネルの欠陥を悪用して一時的なrootコンテキストを取得できる。このラボでは、そのアクセスが実行中のオペレーティングシステムを超えて攻撃対象領域を拡大した。すなわち、古いBootROMエクスプロイトで利用可能なブートチェーン状態を再導入するファームウェアダウングレードを可能にしたのである。

このチェーンは、デバイスのセキュリティが単一層へのパッチ適用だけに依存しない理由を示している。特権ソフトウェアがセキュリティ上重要なファームウェア状態を変更できる場合、カーネル権限昇格は、より低レベルの永続化やブートチェーン侵害への橋渡しとなり得る。

リポジトリ構造

.
├── README.md              # Case study and methodology
├── LICENSE                # CC BY 4.0 for original documentation and media
├── images/
│   ├── README.md          # Evidence index and redaction guidance
│   └── evidence/          # Sanitized screenshots and photographs
└── references/
    └── README.md          # Source ledger and artifact guidance

本リポジトリはサードパーティのZIPアーカイブを再配布しない。元のXDAガイドから入手し、該当する条項を確認し、そのハッシュを上記に記録した値と比較すること。

クレジット

• NebuSec / CyberMeowfia — CVE-2026-43499の発見、およびオリジナルのIonStack/GhostLock研究とエクスプロイト実装。
• R0rt1z2 — Fire OSへの適合、4.4 GhostLockブランチ、およびsheldon/sheldonpの一時rootとダウングレードガイド。
• IonStackQuest3 — Linux 5.10カーネル向けの最初の公開GhostLockポート。下流のFire OSプロジェクトによりクレジットされている。
• Amonet/Kamakiriの貢献者、xyz、k4y0z、Rortiz2、t0x1cSH、および元のアンロックスレッドでクレジットされたテスターを含む — BootROM、fastboot、リカバリ、およびデバイス固有のアンロック作業。

私の貢献は、独立した再現、デバイス固有の実行記録、各ステージがどのように接続するかの分析、および本リポジトリで公開されたオリジナルの証拠である。

参考文献

維持されているソース台帳はreferences/README.mdにある。主要なソースには以下が含まれる:

• CVE-2026-43499の記録
• NebuSec: GhostLock脆弱性エントリ
• NebuSec: IonStack Part III — Androidエクスプロイト
• CyberMeowfia: IonStack/CVE-2026-43499ソース
• R0rt1z2/GhostLock、4.4ブランチ
• XDA: sheldon/sheldonp向け一時rootおよびプリローダーダウングレード
• Amonet/Kamakiriソース
• XDA: sheldon/sheldonp向けブートローダーアンロック、TWRP、およびアンブリックガイド
• remove_waiter()に対するLinuxカーネルの修正

責任ある使用に関する通知

本資料は、教育目的および、あなたが所有するか明示的にテストを許可されているハードウェア上での許可されたセキュリティ研究のために提供される。いかなる保証も伴わない。法的遵守、データ損失、サービス中断、およびあなたの行為に起因するハードウェア損傷については、あなたが責任を負う。

ライセンス

本リポジトリのために作成されたオリジナルのテキストおよび画像は、Creative Commons Attribution 4.0 International Licenseの下でライセンスされる。

サードパーティのツール、エクスプロイトコード、ファームウェア、引用、スクリーンショット、商標、および参照資料は、それぞれの著作者およびライセンスに従う。リンクやクレジットの記載は、その資料をCC BY 4.0の下で再ライセンスするものではない。