GhostLock 5.10

Este é um exploit de root no kernel para o Amazon Fire Max 11 (sunstone) e o Fire TV Stick 4K Max 2ª Geração / 2023 (karat), adaptado do CVE-2026-43499 em CyberMeowfia.

Dispositivos suportados

Dois dispositivos são suportados, ambos com Fire OS 8. Cada um tem seu próprio alvo de compilação.

Fire Max 11 (sunstone)

Fire TV Stick 4K Max 2ª Geração (karat)

Compilação

Requer GNU Make e Android NDK r29.

make                 # Fire Max 11 (sunstone), o padrão
make PROJECT=karat   # Fire TV Stick 4K Max 2ª Geração

Ou compile um zip distribuível, que cuida de tudo para você:

./makedist.sh                 # sunstone
PROJECT=karat ./makedist.sh   # karat

O resultado é gravado em dist/ghostlock-<project>-v<version>.zip, onde a versão vem do arquivo VERSION (substitua com VERSION=x.y.z ./makedist.sh).

Uso

./root.sh

No Windows, execute root.bat.

O script reinicia o dispositivo, executa o exploit e o leva a um shell de root quando termina. Se falhar, ele tentará novamente automaticamente até 8 vezes.

Se o dispositivo estiver conectado via USB, o script também desativa o Wi-Fi a cada tentativa, o que torna o exploit visivelmente mais confiável.

Se for bem-sucedido, você verá um prompt de shell de root como este:

root@sunstone:/ #

Nas versões mais recentes do Fire OS, a Amazon adicionou KASLR, então pode levar alguns minutos para concluir. Seja paciente. Depois que estiver ativo, su funciona a partir de qualquer adb shell até a próxima reinicialização.

Também há um shell vinculado em 127.0.0.1:9999, mantido aberto enquanto o root durar. A maneira mais fácil de acessar é executar nc no próprio dispositivo:

adb shell -t "nc 127.0.0.1 9999"

Ou encaminhe a porta e conecte-se a partir do host:

adb forward tcp:9999 tcp:9999
stty raw -echo; nc 127.0.0.1 9999; stty sane

[!CAUTION] Enquanto você tem root, nosso dispositivo ainda usa dm-verity, portanto, qualquer modificação nas partições system/vendor/etc. resultará em um brick.

Danificar partições críticas como LK, TEE ou Preloader também resultará em um brick. Use este exploit por sua conta e risco.

Shell LM

No Fire TV Stick, um segundo shell de root bruto é aberto em 127.0.0.1:9060 para o Launcher Manager.

O LM normalmente inicia o seu próprio como usuário do sistema, mas ele reutiliza a porta se já estiver aberta, então, se o exploit estiver segurando a 9060 com um shell de root, ele deve operar como root.

Execute o exploit primeiro para que ele reivindique a porta e, em seguida, (re)inicie o LM.

OTAs

As atualizações OTA são desativadas automaticamente assim que o root é obtido com sucesso. Uma única OTA pode mover você para uma compilação não suportada aqui, ou que corrige o exploit.

Os pacotes exatos diferem entre o tablet e o Fire TV Stick; o exploit escolhe o conjunto correto com base no dispositivo. Procure por linhas OTA: pm ... ok na saída para confirmar.

Se alguma etapa relatar not applied, execute-a você mesmo a partir do shell de root.

No Fire Max 11 (sunstone):

pm disable com.amazon.device.software.ota
pm disable com.amazon.kindle.otter.oobe.forced.ota
sync

No Fire TV Stick (karat):

pm disable com.amazon.device.software.ota
pm clear com.amazon.device.software.ota
pm disable com.amazon.device.software.ota.override
pm disable-user com.amazon.sneakpeek
pm disable com.amazon.client.metrics
sync

Isso sobrevive a reinicializações, mas não a uma redefinição de fábrica. Para reativar, use pm enable (ou pm enable-user) nos mesmos pacotes a partir de um shell de root.

Créditos

• CyberMeowfia: exploit original IonStack (CVE-2026-43499)
• IonStackQuest3: primeiro port público para kernels 5.10
• Pro-me3us: coleção de URLs de firmware karat
• sweenwolf: Launcher Manager, usado em FTVs