accessmodifier364/cve-2026-43499-firetv-sheldonp-writeupAmazon Fire TV Stick 3세대(sheldonp)에서 CVE-2026-43499를 익스플로잇하여 임시 루트에서 부트로더 언락까지 다루는 보안 연구 보고서.
sheldonp)에서의 CVE-2026-43499Linux 커널 권한 상승을 preloader 다운그레이드와 부트로더 잠금 해제로 연결하기.
이 저장소는 Amazon Fire TV Stick 3세대(sheldonp)에서 CVE-2026-43499 익스플로잇 체인을 권한을 받아 재현한 과정을 기록한 것입니다. 이 체인은 일시적인 커널 루트 권한을 사용해 통제된 preloader 다운그레이드를 실행한 뒤, 기존 Kamakiri BootROM 워크플로를 사용해 잠금 해제된 fastboot에 도달하고 부트로더 잠금 해제를 완료했습니다.
이것은 재현 및 특정 기기에 대한 사례 연구입니다. 저는 CVE-2026-43499를 발견하지 않았고, 원본 IonStack/GhostLock 익스플로잇을 만들지 않았으며, Kamakiri를 개발하지도 않았습니다. 업스트림 연구자와 개발자에 대한 크레딧은 아래에 있습니다.
[!IMPORTANT] 이 문서는 기술 기록이며, 범용적인 루팅 가이드가 아닙니다. 빌드 호환성이 중요하고, 일시적 루트는 영구 루트가 아니며, Preloader, LK, TEE 또는 dm-verity로 보호된 파티션과 관련된 실수는 기기를 영구적으로 벽돌로 만들 수 있습니다.
전체 체인은 2026년 9월 12일에 완료되었습니다. 이 저장소는 테스트한 기기와 소프트웨어 버전, 사용한 정확한 아카이브, 해당 SHA-256 해시, 그리고 과정 중 수집한 원본 증거를 기록합니다.
| 필드 | 재현 대상 |
|---|---|
| 기기 | Amazon Fire TV Stick 3세대 |
| 모델 | AFTSSS |
| 코드명 | sheldonp |
| 운영 체제 | Fire OS 7.7.1.6 / 빌드 PS7716.5666N |
| 증분 | 0036005356164 |
| Android 기반 | Android 9 |
| 커널 | 4.4.162+ |
| BootROM 단계에 사용한 호스트 | Ubuntu 26.04.1 LTS, 라이브 USB 세션으로 부팅 |
| Android 플랫폼 도구 | 37.0.1 |
| 일시적 루트 구현 | R0rt1z2/GhostLock 1.1.0, 4.4 브랜치 |
| BootROM 구현 | kamakiri-sheldon-1.0 |
| 결과 | 일시적 루트, preloader 다운그레이드, 부트로더 잠금 해제, TWRP, Fire OS 보존 |
범위 외: 취약점 발견, 새로운 익스플로잇 구현, 원격 익스플로잇, 영구 루트, 또는 테스트한 sheldonp 기기 이외의 기기 지원. 이 재현 과정에서 커스텀 ROM은 설치하지 않았습니다.
다음은 이 재현 과정에서 사용한 정확한 ZIP 아카이브입니다. 아카이브는 이 저장소에서 재배포되지 않으며, SHA-256 해시가 기록되어 있어 독립적으로 획득한 사본을 이 사례 연구에서 사용한 파일과 비교할 수 있습니다.
| 아카이브 | 출처 | 버전 | SHA-256 |
|---|---|---|---|
ghostlock-sheldon-v1.1.0.zip | XDA의 일시적 루트 및 다운그레이드 가이드 | GhostLock 1.1.0 | 8D541F7DF58487AF6D6D45D778482D3455A71F62E32651751CFE0B2DDFC6554F |
kamakiri-sheldon-1.0.zip | XDA의 부트로더 잠금 해제 가이드 | Kamakiri Sheldon 1.0 | 1B07161D9F894935E5918A9B8F9A230F67B9487E9863C242E758338E8C6C5784 |
이 해시는 이 사례 연구에서 사용한 사본을 식별합니다. 독자는 여전히 자신의 다운로드를 원본 업스트림 소스와 비교하고 적용 가능한 제3자 라이선스를 검토해야 합니다.
CVE-2026-43499는 GhostLock이라고도 알려져 있으며, Linux 커널의 우선순위 상속 futex/rtmutex 경로에서 발생하는 use-after-free입니다. 프록시 잠금 롤백 중에 remove_waiter()가 waiter->task에 저장된 태스크 대신 current에서 동작했습니다. 그 결과, 실제 대기자는 pi_blocked_on이 해제된 커널 스택 프레임의 rt_mutex_waiter를 여전히 참조하는 상태로 사용자 공간으로 반환될 수 있었습니다.
원본 IonStack 연구는 이 댕글링 스택 참조를 로컬 권한 상승 프리미티브로 전환합니다. R0rt1z2는 이 기법을 4.4 커널에서 Fire OS 7을 실행하는 Fire TV Stick 3세대 및 Fire TV Stick Lite(sheldonp/sheldon)에 적용했습니다.
이 사례 연구에서 핵심적인 차이점은 CVE-2026-43499가 부트로더를 직접 해제하지 않는다는 점입니다. 이 취약점은 일시적인 커널 수준 접근 권한을 제공합니다. 이 짧은 시간 동안의 접근 권한 덕분에, 구형 Kamakiri BootROM 체인이 실행되기 전에 필요한 통제된 프리로더 다운그레이드를 수행할 수 있습니다.
flowchart LR
A[Fire OS 7 on sheldonp] --> B[CVE-2026-43499 / GhostLock]
B --> C[Temporary root shell]
C --> D[Controlled preloader downgrade]
D --> E[Expected non-booting transition state]
E --> F[Kamakiri BootROM stage]
F --> G[Unlocked fastboot]
G --> H[Bootloader unlocked]
체인은 두 개의 별도 보안 경계를 넘습니다:
장치를 변경하기 전에, 하드웨어 코드명을 식별하고 ADB를 통해 Fire OS, 빌드, 부트로더, 커널 버전을 기록했습니다.
adb devices -l
adb shell getprop ro.product.device
adb shell getprop ro.product.model
adb shell getprop ro.build.version.release
adb shell getprop ro.build.version.incremental
adb shell getprop ro.build.fingerprint
adb shell getprop ro.bootloader
adb shell uname -a
adb shell id
결과로 얻은 기준 환경은 sheldonp / AFTSSS, Fire OS PS7716.5666N, 증분 0036005356164, Android 9, 커널 4.4.162+였습니다. 일련번호는 의도적으로 생략했습니다.
ADB 디버깅을 활성화한 상태에서 USB로 Fire TV를 연결하고, R0rt1z2 XDA 가이드와 함께 배포된 sheldon/sheldonp 패키지인 GhostLock 1.1.0을 사용했습니다. 기기별 런처는 Fire TV를 재부팅하여 깨끗한 상태에서 시작하고, 익스플로잇을 배포하며, 필요할 때 재시도합니다.
익스플로잇이 성공하면 임시 루트 환경이 생성됩니다. 스크립트 완료만으로 증명된 것으로 간주하지 않고 ADB 셸에서 보안 컨텍스트를 확인했습니다:
adb shell
su
id
루트 컨텍스트는 일시적이며 재부팅 시 소실된다. 이 동작은 중요하다. 이 단계는 다운그레이드를 가능하게 하는 기본 요소이며, 최종적인 지속성 메커니즘이나 부트로더 언락 그 자체가 아니다.
성공적인 실행은 uid=0을 보여주었고, 임시 환경을 위해 SELinux를 permissive로 변경했으며, 임시 su를 마운트하고, 도구가 처리하는 Fire OS OTA 패키지를 비활성화했다.
전체 GhostLock 익스플로잇 추적 기록은 보조 증거로 보존되어 있다.
임시 루트를 사용할 수 있게 되자, 펌웨어 파티션을 수동으로 기록하는 대신 패키지의 전용 다운그레이드 워크플로를 사용했다. 이를 통해 기존 Kamakiri 경로와 호환되는 preloader가 복원되었다.
다운그레이드 후, Fire TV는 의도적으로 Fire OS로 부팅을 중단했다. 이 특정 워크플로에서 이러한 부팅 불가 상태는 라이브 커널 단계와 USB BootROM 단계 사이의 예상된 핸드오프이다. 이는 임의의 실패한 플래시가 복구 가능하다는 증거로 혼동되어서는 안 된다.
[!CAUTION] Preloader를 절대 지우지 마라. LK, TEE, Preloader, boot, recovery, system, vendor 또는 기타 보호된 파티션에 대한 쓰기를 즉흥적으로 수행하지 마라. 업스트림 가이드는 중요한 펌웨어의 손상이 영구적인 하드 브릭을 초래할 수 있다고 경고하는데, 이는 작동하는 복구 경로가 더 이상 남아 있지 않을 수 있기 때문이다.
이 장치에 사용된 Kamakiri 워크플로는 Linux용으로 지원되고 문서화되어 있었다. 따라서 Ubuntu Live 세션을 부팅하여 저수준 USB BootROM 단계를 포함한 전체 언락 워크플로를 그곳에서 수행했으며, 호스트에 Ubuntu를 설치하지 않았다. 이 단계는 Windows나 macOS에서는 테스트하지 않았다.
언락 가이드에서 참조하는 sheldon/sheldonp Kamakiri 패키지를 사용한 과정은 다음과 같다:
bootrom-step.sh를 시작하고 전원이 꺼진 Fire TV를 USB로 연결한다.fastboot-step.sh를 실행하여 언락 워크플로를 마무리한다.Kamakiri는 해당 장치를 sheldonp로 감지하고, RPMB 다운그레이드를 완료하고, 체인에 필요한 TZ/LK 구성 요소를 플래시하고, 마이크로로더를 주입하고, 장치를 해킹된 fastboot 모드로 강제 전환했다.
아카이브 해시와 Ubuntu 릴리스는 위에 기록되어 있다. 독자는 이러한 상위 수준 단계가 다른 빌드에도 적용된다고 가정하지 말고, 버전별 지침은 링크된 업스트림 가이드를 사용해야 한다.
다음 항목을 각각 별개의 마일스톤으로 취급하고 각각에 대한 증거를 캡처했다: