Pesquisa de Exploit de Kernel — Xiaomi 5.4-qgki (veux & moonstone)

Data: 2026-10-07/08 Dispositivos: Redmi Note 11 Pro 5G (veux, 5.4.274-qgki) & POCO X5 5G (moonstone, 5.4.191-qgki) SoC: Snapdragon 695 (SM6375)

---

Resumo

CVE	Status	Notas
CVE-2026-43284 (DirtyFrag)	❌ Inviável	Requer MSG_SPLICE_PAGES (kernel 6.5+)
CVE-2026-24088 (Qualcomm fastboot)	⚠️ Específico do bootloader	TheFliss: "unknown command" no dispositivo dele
CVE-2022-2602 (io_uring UAF)	❌ Inviável	Kernel bloqueia o caminho de registro (EFAULT/EINVAL)
CVE-2022-20421 (BadSpin)	❌ Testado, sem sucesso	Compila OK, entra em loop sem vencer a corrida
CVE-2023-20938 (binder UAF)	✅ Vulnerável (ambos)	Ainda não testado
CVE-2023-4622 (af_unix UAF)	✅ Vulnerável (ambos)	Ainda não testado
CVE-2026-43499 (GhostLock)	❓ Possivelmente vulnerável	O app GhostLock não funciona no 5.4 por design
CVEs do KGSL (5x)	❓ Possivelmente vulnerável	2024-38399 tem writeup+PoC

---

1. DirtyFrag (CVE-2026-43284)

Veredito: Não é viável no 5.4.

O bug existe no 5.4 (código do 4.11), mas o exploit requer suporte a MSG_SPLICE_PAGES em UDP para a primitiva de escrita em page-cache. Isso foi introduzido no kernel 6.5. No 5.4, splice() para UDP faz uma cópia comum — sem anexação de página compartilhada.

CVE-2026-43500 (variante RxRPC) também não se aplica — código RxRPC introduzido no 6.8.

Repo: https://github.com/HirokiAkihiko/dirtyfrag-research

---

2. CVE-2026-24088 (Qualcomm ABL Fastboot)

Veredito: Específico do bootloader, não universal.

Bug no ABL da Qualcomm: fastboot oem set-gpu-preemption não sanitiza os argumentos, permitindo a injeção de androidboot.selinux=permissive na cmdline do kernel.

• Afeta o SM6375 (confirmado por pesquisa de terceiros)
• Não requer desbloqueio do bootloader
• Tethered (deve ser repetido a cada boot)

Resultado do teste (TheFliss): FAILED (remote: 'unknown command') — o bootloader dele não implementa o comando. Este CVE depende da build específica do ABL.

---

3. CVE-2022-2602 (io_uring UAF)

Veredito: Inviável nestes dispositivos. O kernel bloqueia ativamente o caminho de registro.

Trabalho realizado:

• PoC portado de x86_64 para ARM64 Android (sem liburing, helpers mínimos embutidos)
• Compilado com NDK r27d → binário estático de 2.2MB
• Teste no dispositivo via LADB com 4 binários de diagnóstico

Descobertas:

• CONFIG_IO_URING=y confirmado
• io_uring_setup funciona com flags simples (SQPOLL bloqueado → requer CAP_SYS_ADMIN)
• IORING_REGISTER_FILES → EFAULT (consistente, mesmo via SVC bruto)
• IORING_REGISTER_BUFFERS → EINVAL
• Conclusão: bloqueio em nível de kernel no caminho de registro do io_uring, não SELinux/seccomp

A primitiva UAF requer IORING_REGISTER_FILES bem-sucedido. Sem isso, a cadeia de exploit não pode prosseguir.

Pacote: ~/workspace/cve-2022-2602-bundle/ (código-fonte, binários, diagnósticos)

---

4. CVE-2022-20421 (BadSpin)

Veredito: Compila e executa, mas não obtém sucesso no veux.

Trabalho realizado:

• Fonte: mateusvdcastro/badspin
• Adaptado para o veux:
  • Removida a verificação de SPL em exploit.c (find_dev_config())
  • Adicionada entrada do dispositivo veux em dev_config.h (modelo 2201116SG, Android 13, kernel 5.4.274, SPL 2024-12)
• Compilado via GitHub Actions (NDK r27d) → libbadspin.so (345K, ARM64)
• Testado no dispositivo via LADB com TEST_VULN=1

Resultado do teste: dev_config_init falhou inicialmente (incompatibilidade de mês do SPL: a entrada tinha month=1, o dispositivo tem 2024-12). Corrigido via GitHub. Após a correção, o exploit executa e dispara a vulnerabilidade ("Trigger use-after-free"), mas entra em loop indefinidamente sem vencer a condição de corrida.

Repo: https://github.com/HirokiAkihiko/badspin-veux (privado)

---

5. Candidatos Restantes (vulnerabilidade verificada, ainda não testados)

CVE-2023-20938 (binder UAF)

• Status: Vulnerável tanto no veux quanto no moonstone
• Commits de correção bdc1c5fac982 e 4df153652cc4 ausentes no código-fonte da Xiaomi
• Próximo alvo recomendado

CVE-2023-4622 (corrida UAF em af_unix)

• Status: Vulnerável em ambos os dispositivos
• Correção 4821df2ffe38 ausente; skb_peek_tail ainda sem lock
• Condição de corrida — mais difícil de tornar confiável

CVE-2026-43499 (GhostLock/futex)

• Status: Possivelmente vulnerável (padrão current->pi_blocked_on = NULL presente)
• Nota: o próprio aplicativo GhostLock não funciona no 5.4 por design (problema de timing)

CVEs do KGSL (GPU Adreno)

• CVE-2023-33106, CVE-2023-33107, CVE-2023-33021, CVE-2024-38399, CVE-2025-27038
• Status: Possivelmente vulnerável (sem atualizações do KGSL desde 2023-06 no veux)
• CVE-2024-38399 tem writeup público + PoC
• Exploits de GPU são complexos

---

Lição Principal

Rótulos de versão são enganosos. O veux-r-oss está rotulado como 5.4.274, mas está faltando backports estáveis do 5.4.y que deveriam estar lá (correções do binder de 2023-06, correção do af_unix de 2023-08). Sempre verifique no nível do código, não pelo número da versão.

---

Arquivos e Repositórios

• Pesquisa DirtyFrag: https://github.com/HirokiAkihiko/dirtyfrag-research (público)
• BadSpin veux: https://github.com/HirokiAkihiko/badspin-veux (privado)
• Pacote CVE-2022-2602: ~/workspace/cve-2022-2602-bundle/
• Evidências da caça a CVEs: ~/workspace/cve-hunt/