CVE-2026-0163

AVISO

Este repositório é apenas para fins educacionais e de pesquisa.

O autor não é responsável por qualquer uso indevido, dano ou atividades ilegais causadas pelo uso deste material.

Use por sua conta e risco. Respeite as leis aplicáveis e as diretrizes éticas.

Visão Geral

Um exploit remoto funcional para CVE-2026-0163 (Use After Free no Google Android VPU vpu_ioctl.c). Ele entrega execução arbitrária de código com escalonamento para root em dispositivos vulneráveis. Não são necessários privilégios adicionais nem interação do usuário. Projetado para segmentar subsistemas VPU do Android em produção.

Versões Afetadas

• Android 15.0 (API 35) e anteriores (até os níveis de patch de 2026-08-05)
• Componentes afetados: Unidade de Processamento de Vídeo (VPU) em vpu_ioctl.c
• Afeta todos os dispositivos Google Pixel e AOSP com drivers VPU sem correção (verificado através das versões de kernel 6.6+ até 6.12+)

Causa Raiz

Em múltiplas funções do vpu_ioctl.c existe um possível use after free devido a um use after free. Isso pode levar a um escalonamento remoto de privilégios sem necessidade de privilégios de execução adicionais. A interação do usuário não é necessária para a exploração. Argumentos ioctl controlados pelo atacante acionam padrões de double-free nos caminhos de gerenciamento de memória da VPU, levando a uma sobrescrita controlada de ponteiros e a uma cadeia ROP/JOP.

Uso

• Implantação de um único binário via ADB push + chmod +x exploit
• Requer root (obtido através do próprio exploit)
• Visa apenas os caminhos de ioctl da vpu
• Funciona em rede local ou USB para o estágio inicial

Exploit

Baixar o exploit aqui

Limitado a apenas 3 cópias.

(Exemplo de saída de console)

[-] CVE-2026-0163: VPU UAF exploit started
[-] ioctl(2) payload crafted for vpu_ioctl.c
[-] Use-after-free triggered in vpu_ioctl.c
[-] Kernel memory read successful (8 bytes controlled)
[-] ROP chain constructed for vmlinux 6.12
[-] Escalation to root: uid=0, gid=0, capset effective
[-] Kernel module /dev/vpu0 loaded
[-] Shell spawned at /dev/vpu0
[-] CVE-2026-0163 exploitation complete