Redmi K50 Gaming (ingres) — CVE-2026-43499 (GhostLock) 临时 Root PoC

免解锁 BL 一键临时 Root。利用 GhostLock（CVE-2026-43499, futex PI Use-After-Free） 本地提权链拿到 root 锚点，随后通过 KernelSU 3.3.0 late-load 方式把 kernelsu 模块挂载进运行中的内核，配合 KSU 模块保持 SELinux Permissive 并修复网络。

対象デバイス: Redmi K50G / POCO F4 GT —— コードネーム ingres、SoC SM8450 (Snapdragon 8 Gen 1) システム: Android 14、UKQ1.240624.001、カーネル 5.10.209-android12 (KMI android12-5.10) 状態: ✅ 実機で一時 Root の成功を検証済み

1. ファイル説明

ファイル	役割
`exploit`	GhostLock 権限昇格バイナリ（ARM64 PIE、未 strip）。内部に KernelSnitch の mm 衝突特定、futex PI UAF によるスタック上書き、カーネルアンカーの root、su デーモン、埋め込み `libksud.so` と KSU late-load ロジックを含む
`Root-K50G.bat`	Windows ワンクリックスクリプト（自身のディレクトリを基準にファイルを特定、ダブルクリックで使用可能）: デバイス検出 → ファイル転送 → 権限昇格の実行 → 直接 root shell へ
`ksu_loader.sh`	root 化されたカーネルアンカーから実行: `libksud.so late-load --kmi 5.10.209-android12` で KernelSU をロードし、順に `post-fs-data` / `services` / `boot-completed` の各段階を発火する
`ksu-module/chuxin_permissive_netfix/`	KernelSU モジュール（module.prop + service.sh）: 2 秒ごとに `enforce=0` を監視し、改ざん防止属性をリセット、netd を再起動、wifi/データ通信を有効化してネットワーク切断を修復する
`adb/`	内蔵 adb ツール（ポータブル・インストール不要）
`adb驱动无需重启.exe`	Xiaomi ドライバのワンクリックインストールツール

2. 成功方法 / 権限昇格チェーン

チェーン全体は 4 つのステップに分かれる:

GhostLock UAF のトリガー（CVE-2026-43499）
- futex PI のリングトポロジ（FUTEX_WAIT_REQUEUE_PI + FUTEX_CMP_REQUEUE_PI）でカーネルスタック上に宙に浮いた rt_mutex_waiter を生成する;
- カーネルスタックの stamp（sysctl パスなど）を用いて、偽造した waiter フィールドを解放済みの位置に上書きする;
- 消費スレッドが rt_mutex_adjust_prio_chain の走査をトリガーし、制御されたカーネル読み書きプリミティブを得る。
カーネルアンカーの root
- 書き込みプリミティブで cred（uid/gid=0、完全な caps、kernel SID）を注入し、root アンカープロセスを得る（実行ログの anchor: ROOT uid=0）;
- アンカー内で fork: root shell（SHELL_ROOT=1）と su デーモン（SU_DAEMON=1、/data/local/tmp/su）。
KernelSU late-load
- カーネルモジュール kernelsu.ko を libksud.so late-load --kmi 5.10.209-android12 で稼働中のカーネルにロードする（書き換え/ブートイメージへのパッチ不要、デバイスの現在の KMI と正確に一致）;
- ksu_loader.sh が順に post-fs-data、services、boot-completed を実行し、KernelSU 管理フレームワーク（ksud）を正常に起動させる。
Permissive の維持 + ネットワーク修復
- KSU モジュール chuxin_permissive_netfix を /data/adb/modules/ にインストールする: その service は ksu ドメイン（security:setenforce 権限を持つ）で動作し、2 秒ごとに enforce を 0 に書き戻し、ksud が boot-completed 後に SELinux を Enforcing に戻す動作（su socket の AVC 拒否 + ネットワーク切断の防止）を打ち消す;
- 初回起動の約 10 秒後に ro.boot.flash.locked / verifiedbootstate / 保証ビット属性をリセットし、netd を再起動して Root 後のネットワークを修復する。

3. 使用方法

方法 A: Windows ワンクリック（推奨）

スマートフォンで開発者オプション + USB デバッグを有効にし、PC に接続する;
Root-K50G.bat をダブルクリックする;
画面の指示に従い、スマートフォンで USB デバッグの許可を与える;
権限昇格は約 1〜3 分、完了すると現在の adb セッションが直接 root shell になり、id を入力して uid=0(root) を検証する;
/data/local/tmp/su -c id でも検証できる。

方法 B: 手動 adb

adb push exploit /data/local/tmp/exploit
adb push ksu_loader.sh /data/local/tmp/ksu_loader.sh
adb shell chmod 755 /data/local/tmp/exploit /data/local/tmp/ksu_loader.sh

adb shell "env NO_COLOR=1 SE_LINUX=1 KSU_LOADER=1 SHELL_ROOT=1 SU_DAEMON=1 SUSPECT_CPU=99999 KS_MAX_TRIES=8 /data/local/tmp/exploit"

运行结束后验证：

adb shell /data/local/tmp/su -c id
# uid=0(root) gid=0(root) ...

4. 環境変数

変数	デフォルト	意味
`NO_COLOR`	0	カラーログを無効化
`SE_LINUX`	0	SELinux Permissive flip を有効化（カーネルアンカーへ enforce を直接書き込み）
`KSU_LOADER`	0	root アンカー内で `ksu_loader.sh` を実行（KernelSU late-load）
`SHELL_ROOT`	0	アンカー内で root shell を fork
`SU_DAEMON`	0	アンカー内で `/data/local/tmp/su` daemon を起動
`SUSPECT_CPU`	-	容疑 CPU を指定（アンカーをバインド）、`99999` は自動を表す
`KS_MAX_TRIES`	-	KernelSnitch の mm 衝突/アンカー試行回数の上限

5. 注意事項

ネットワーク切断への対処：KSU によって Enforcing に戻されネットワークが切断された場合、chuxin_permissive_netfix モジュールの service.sh が自動的にプロパティをリセットし netd を再起動します（LSPosed などのモジュールを導入した後でも有効です）；
Root は一時的なものです：再起動すると無効になり、再度権限昇格を実行する必要があります；SELinux の寛容モードは KSU モジュールによって起動後に自動的に復元されます；
本手法は Bootloader のアンロックも、ファームウェアの書き換えも必要としません。

6. 免責事項

本リポジトリの内容はセキュリティ研究および個人デバイスでのテストのみを目的としています。権限昇格やシステム状態の変更には一定のリスクが伴い、不適切な操作はデバイスの文鎮化やデータ損失を引き起こす可能性があります。原理を完全に理解し、自らの責任で使用してください。違法な目的には使用しないでください。

参考：CVE-2026-43499（GhostLock）—— Linux カーネルの futex 優先度継承 UAF。カーネル 2.6.39 ～ 7.1 に影響し、ローカル権限昇格が可能です。

人気

K50G-POCOF4GT-CVE-2026-43499-PoC