CVE-2025-21479 — Qualcomm Adreno GPU 권한 상승 취약점 익스플로잇(SM8475 / iQOO Neo8)

CVE-2025-21479에 대한 로컬 권한 상승 실험 코드로, vivo V2301A(iQOO Neo8 / PD2301, Snapdragon 8+ Gen 1 / SM8475, Adreno A730, Android 14, GKI 커널 5.10)의 Qualcomm Adreno GPU(KGSL)를 대상으로 합니다.

원리적으로 이 익스플로잇은 KGSL의 CP_SMMU_TABLE_UPDATE 명령으로 GPU의 SMMU를 구동해 임의 물리 메모리 읽기/쓰기 능력을 확보하고, 이를 통해 SELinux를 끄고 커널 심볼을 찾아 root 셸을 획득합니다. 전 과정에서 플래싱이 필요 없으며, Bootloader 언락에도 의존하지 않습니다.

직접 소유하거나 권한을 부여받은 기기에서만 보안 연구를 수행하세요.

동작 방식

1. GPU 물리 메모리 프리미티브. Adreno A730(eureka_panther) 마이크로코드의 접근 검사(and $12, 0x3)에 결함이 있어 Self-Draw-State(SDS) 패킷을 RingBuffer(RB)로 오판합니다. 따라서 사용자 공간에서 위조된 CP_SMMU_TABLE_UPDATE를 SDS 블록에 넣어 제출하면 GPU의 TTBR0를 덮어써 GPU 페이지 테이블이 임의의 물리 페이지를 가리키게 됩니다. 이후 GPU는 임의의 물리 메모리를 읽고 쓸 수 있습니다.
2. 안정화된 읽기/쓰기. stabilize_rw로 매핑을 2MB 자체 매핑 영역으로 강화해 대량의 빠른 읽기(fast_pread_bytes 등)를 지원합니다.
3. SELinux 끄기. 물리 메모리에서 selinux_state.enforcing 필드를 0으로 클리어합니다. 그다음 고정 물리 베이스 주소 0xA8000000에서 커널 이미지를 덤프하고(기본 상한 43MB), SM8475에는 물리 KASLR이 없으므로 원시 덤프에서 kallsyms 구조를 직접 파싱합니다(엔디언 자동 인식). 따라서 가상 KASLR도 영향을 주지 않습니다.
4. root 페이로드. AArch64 셸코드(prepare_kernel_cred(0) → commit_creds(), seccomp 비활성화 포함)로 __do_sys_capset를 패치합니다. fork된 자식 프로세스가 capset()을 호출하면 → uid 0이 되고 → 덮어쓴 커널 코드를 복원한 뒤 → 자식 프로세스가 u:r:shell:s0 도메인으로 지정한 명령(기본값 sh)을 다시 실행합니다. 커널 코드는 최종적으로 실행 전과 바이트 단위로 일치합니다.

테스트 기기

전체 기기 정보는 device_info.txt를 참조하세요.

저장소 구조

├── source/
│   ├── cheese.c            # 漏洞利用主程序（include 了下面两个文件）
│   ├── kallsyms_lookup.c   # 针对原始内核映像的 kallsyms 解析器
│   └── adrenaline.h        # KGSL ioctl / 命令定义（作者 hawkes）
├── exploit                 # 预编译 arm64 二进制（动态链接，minSdk 21，
│                           #  NDK r30-beta2）
├── device_info.txt         # 用于调参的目标设备信息
└── README.md

참고: cheese.c는 kallsyms_lookup.c와 adrenaline.h를 #include하므로, 컴파일할 때 세 파일이 같은 디렉터리에 있어야 합니다.

빌드

비교적 최신 Android NDK(r25+)면 충분합니다. 예시:

# 静态链接（自包含、任意 API 等级可运行；体积较大）
aarch64-linux-android34-clang -o cheese source/cheese.c -static

# 动态链接（体积小，依赖设备自带的 libc；API 等级需匹配设备）
aarch64-linux-android34-clang -o exploit_dyn source/cheese.c
# 若要兼容 API 21+ 设备，请改用 aarch64-linux-android21-clang

사용 방법

adb push exploit /data/local/tmp/

adb shell
chmod +x /data/local/tmp/exploit
/data/local/tmp/exploit

상세 튜토리얼은 여기를 클릭(원클릭 도구 포함)

성공하면 uid=0 셸을 얻게 되며, 이 세션의 SELinux는 꺼진 상태입니다. 프로세스는 권한 상승을 완료한 후 argv[1..](기본값 sh)을 다시 실행합니다. 실행할 때마다 카운트다운("pte wait 3 second")과 43MB 커널 읽기 진행률("Read X / 43 MB")이 표시됩니다.

환경 변수

ReSukiSU 루팅

$(find /data/app -type f -name "libksud.so" | grep resukisu) late-load --kmi android12-5.10

다른 기기로 포팅

기기 관련 상수는 source/cheese.c 상단에 있습니다:

• KERNEL_PHYS_BASE — 커널 물리 베이스 주소(기본값 0xA8000000, SM8475)
• IDMAP_PG_DIR_OFFSET — idmap_pg_dir 오프셋(기본값 0x245a000)
• selinux_state_offset — selinux_state를 찾는 데 사용하는 오프셋(기본값 0x729030, 실제 물리 주소 = idmap_pg_dir 물리 주소 + 해당 오프셋)
• gPhyAddrs[] — 순서대로 시도할 후보 물리 베이스 주소
• DEFAULT_KERNEL_SIZE_MB — 커널 읽기의 폴백 값 / 상한

전제 조건: Adreno A730/A7xx 시리즈 GPU(영향을 받는 펌웨어), 물리 덤프에서 kallsyms를 파싱할 수 있는 커널, 그리고 물리 KASLR이 없어야 합니다.

자주 묻는 질문

• can't get GPU r/w — GPU 초기화 실패입니다. 먼저 기다려 보고, 그래도 안 되면 CHEESE_ATTEMPT=1..n을 시도하거나 CHEESE_PHYADDR을 직접 지정하세요. 단일 시도를 디버깅할 때는 CHEESE_NO_RETRY=1을 추가하세요.
• kallsyms 파싱 실패 — 먼저 CHEESE_READ_FULL_KERNEL=1로 전체 이미지를 읽어 보고(CHEESE_KALLSYMS_MAX_MB로 상한 확장), 그래도 안 되면 CHEESE_FORCE_MANUAL_PATCHFINDER=1을 고려하세요.
• 이 도구는 어떤 내용도 플래시하거나 영구 저장하지 않습니다. 커널 코드와 페이지 테이블은 종료 전에 복원되며, 재부팅 후 기기는 실행 전과 완전히 동일합니다.

감사의 말

• @zhuowei — CVE-2025-21479 연구자이자 이 도구의 기반이 된 오픈소스 cheese 익스플로잇의 작성자
• cheese / cheese-cake 오픈소스 계보 — SDS/TTBR0 기술, 커널 덤프 기반 kallsyms 파싱
• hawkes — 2020년의 adrenaline.h KGSL 헤더 파일로 ioctl 인터페이스 정의 제공
• 쿠안@renil — iQOO Neo8에서 이 취약점을 재현한 연구

zhuowei/cheese를 기반으로 개조함(원본 저장소에는 라이선스가 없음). 전체 원리는 취약점 공고를 참조하세요.

• 쿠안@TNTHe — 제 쿠안 계정

면책 조항

이 저장소는 교육 및 보안 연구 목적으로만 제공됩니다. 직접 소유하거나 권한을 부여받은 기기에서만 사용하세요. 작성자는 어떠한 오용 행위에도 책임을 지지 않습니다. 이 도구를 사용하면 보증이 무효화되거나 관련 서비스 약관을 위반할 수 있습니다.