Redmi K50 Gaming (ingres) — CVE-2026-43499 (GhostLock) 一時的 Root PoC

BL ロック解除不要のワンクリック一時 Root。GhostLock（CVE-2026-43499, futex PI Use-After-Free） ローカル権限昇格チェーンで root アンカーを取得し、その後 KernelSU 3.2.5 late-load 方式で kernelsu モジュールを実行中のカーネルにマウントし、KSU モジュールで SELinux Permissive を維持しつつネットワークを修復します。

対象デバイス: Redmi K50G / POCO F4 GT —— コードネーム ingres, SoC SM8450 (Snapdragon 8 Gen 1) システム: Android 14, UKQ1.240624.001, カーネル 5.10.209-android12 (KMI android12-5.10) ステータス: ✅ 実機検証済み 一時 Root 成功

1. ファイル説明

2. 成功方法 / 権限昇格チェーン

全体のチェーンは 4 ステップ：

1. GhostLock UAF トリガー（CVE-2026-43499）
   • futex PI リングトポロジ（FUTEX_WAIT_REQUEUE_PI + FUTEX_CMP_REQUEUE_PI）でカーネルスタック上にダングリングな rt_mutex_waiter を生成；
   • カーネルスタック stamp（sysctl パス等）で偽の waiter フィールドを解放済み位置に上書き；
   • 消費スレッドが rt_mutex_adjust_prio_chain の走査をトリガーし、制御可能なカーネル読み取り/書き込みプリミティブを取得。
2. カーネルアンカー root
   • 書き込みプリミティブで cred（uid/gid=0、完全な caps、kernel SID）を注入し、root アンカープロセス（実行ログの anchor: ROOT uid=0）を取得；
   • アンカー内で fork：root shell（SHELL_ROOT=1）と su daemon（SU_DAEMON=1、/data/local/tmp/su）。
3. KernelSU late-load
   • カーネルモジュール kernelsu.ko を libksud.so late-load --kmi 5.10.209-android12 で実行中のカーネルにロード（焼き込み/ブートイメージパッチ不要、デバイスの現在の KMI と正確に一致）；

3. 使用方法

方法 A：Windows ワンクリック（推奨）

1. スマホで開発者オプション + USB デバッグを有効にし、PC に接続；
2. Root-K50G.bat をダブルクリック；
3. プロンプトに従いスマホで USB デバッグ認証を許可；
4. 権限昇格に約 1〜3 分、完了後は現在の adb セッションがそのまま root shell になり、id を入力して uid=0(root) を確認；
5. /data/local/tmp/su -c id でも確認可能。

方法 B：手動 adb

adb push exploit /data/local/tmp/exploit
adb push ksu_loader.sh /data/local/tmp/ksu_loader.sh
adb shell chmod 755 /data/local/tmp/exploit /data/local/tmp/ksu_loader.sh

adb shell "env NO_COLOR=1 SE_LINUX=1 KSU_LOADER=1 SHELL_ROOT=1 SU_DAEMON=1 SUSPECT_CPU=99999 KS_MAX_TRIES=8 /data/local/tmp/exploit"

実行終了後に確認：

adb shell /data/local/tmp/su -c id
# uid=0(root) gid=0(root) ...

4. 環境変数

5. 注意事項

• ネットワーク断の対処：KSU によって Enforcing に戻されネットワーク断が発生した場合、chuxin_permissive_netfix モジュールの service.sh が自動的に属性をリセットし netd を再起動（LSPosed 等のモジュールを焼いた後も有効）；
• Root は一時的：再起動後は無効になり、権限昇格を再実行する必要があります。SELinux 寛容モードは KSU モジュールが起動後に自動的に復元；
• 本方式は Bootloader のロック解除も焼き込みも不要です。

6. 免責事項

本リポジトリの内容はセキュリティ研究および個人デバイステスト専用です。権限昇格/システム状態の変更には一定のリスクが伴い、操作を誤るとデバイスが文鎮化したりデータが失われる可能性があります。原理を完全に理解し、自己責任で使用してください。不正な用途には使用しないでください。

参考：CVE-2026-43499（GhostLock）—— Linux カーネル futex 優先度継承 UAF、カーネル 2.6.39 〜 7.1 に影響、ローカル権限昇格が可能。