Redmi K50 Gaming (ingres) — CVE-2026-43499 (GhostLock) PoC de Root Temporário

Root temporário com um clique, sem desbloquear o bootloader. Utiliza a cadeia de escalonamento de privilégios local GhostLock (CVE-2026-43499, futex PI Use-After-Free) para obter uma âncora de root e, em seguida, monta o módulo kernelsu no kernel em execução através do método KernelSU 3.2.5 late-load, mantendo o SELinux Permissive e corrigindo a rede com módulos KSU.

Dispositivo alvo: Redmi K50G / POCO F4 GT — codinome ingres, SoC SM8450 (Snapdragon 8 Gen 1) Sistema: Android 14, UKQ1.240624.001, kernel 5.10.209-android12 (KMI android12-5.10) Status: ✅ Root temporário verificado com sucesso em dispositivo real

1. Descrição dos arquivos

2. Método de sucesso / cadeia de escalonamento

A cadeia completa tem quatro etapas:

1. Disparo do UAF GhostLock (CVE-2026-43499)
   • Topologia circular futex PI (FUTEX_WAIT_REQUEUE_PI + FUTEX_CMP_REQUEUE_PI) cria um rt_mutex_waiter pendurado na pilha do kernel;
   • Usa um stamp da pilha do kernel (caminhos de sysctl, etc.) para sobrescrever os campos do waiter falsificado na posição liberada;
   • A thread consumidora dispara a varredura de rt_mutex_adjust_prio_chain, obtendo primitivas controladas de leitura/escrita no kernel.
2. Root por âncora de kernel
   • Injeta cred via primitiva de escrita (uid/gid=0, caps completos, SID do kernel), obtendo um processo âncora de root (anchor: ROOT uid=0 nos logs);
   • Fork dentro da âncora: root shell (SHELL_ROOT=1) e daemon su (SU_DAEMON=1, /data/local/tmp/su).
3. KernelSU late-load
   • O módulo de kernel kernelsu.ko é carregado no kernel em execução via (sem necessidade de flashar/patchar a imagem boot, com correspondência exata ao KMI atual do dispositivo);

3. Como usar

Método A: um clique no Windows (recomendado)

1. Ative as opções de desenvolvedor + depuração USB no celular e conecte ao computador;
2. Dê dois cliques em Root-K50G.bat;
3. Siga as instruções e permita a autorização de depuração USB no celular;
4. O escalonamento leva cerca de 1~3 minutos; ao concluir, a sessão adb atual se torna diretamente um shell root — digite id para verificar uid=0(root);
5. Também é possível verificar com /data/local/tmp/su -c id.

Método B: adb manual

adb push exploit /data/local/tmp/exploit
adb push ksu_loader.sh /data/local/tmp/ksu_loader.sh
adb shell chmod 755 /data/local/tmp/exploit /data/local/tmp/ksu_loader.sh

adb shell "env NO_COLOR=1 SE_LINUX=1 KSU_LOADER=1 SHELL_ROOT=1 SU_DAEMON=1 SUSPECT_CPU=99999 KS_MAX_TRIES=8 /data/local/tmp/exploit"

Após a execução, verifique:

adb shell /data/local/tmp/su -c id
# uid=0(root) gid=0(root) ...

4. Variáveis de ambiente

5. Observações

• Tratamento de perda de rede: quando o KSU reverte para Enforcing e causa perda de rede, o service.sh do módulo chuxin_permissive_netfix redefine automaticamente os atributos e reinicia o netd (também funciona após instalar módulos como LSPosed);
• O Root é temporário: perde efeito após reiniciar, sendo necessário executar o escalonamento novamente; o SELinux permissivo é restaurado automaticamente pelo módulo KSU após o boot;
• Este método não exige desbloquear o Bootloader nem flashar o dispositivo.

6. Aviso legal

O conteúdo deste repositório destina-se exclusivamente a pesquisa de segurança e testes em dispositivos próprios. Escalonamento de privilégios/modificação do estado do sistema envolvem riscos; operação inadequada pode causar brick no dispositivo ou perda de dados. Use somente após compreender totalmente os princípios e assumindo as consequências por conta própria; não use para fins ilegais.

Referência: CVE-2026-43499 (GhostLock) — UAF de herança de prioridade futex no kernel Linux, afeta kernels 2.6.39 ~ 7.1, permite escalonamento local de privilégios.