OnePlus 13 (OP5D0DL1) CVE-2026-64560

Адаптация proof of concept для Android CVE-2026-64560 под конкретное устройство для перечисленных ниже сборок OnePlus 13 (PJZ110). Обеспечивает временный root- доступ для текущей загрузки через вспомогательный инструмент, работающий только из ADB-shell.

[!WARNING] Это экспериментальный код эксплойта ядра. Он может перезагрузить устройство, повредить состояние ядра или привести к потере данных. Используйте его только на устройстве, которым вы владеете или которое вам явно разрешено тестировать. Сначала сделайте резервную копию важных данных.

Поддерживаемые цели

Этот репозиторий нацелен на образы ядра, а его профили — на отпечатки сборок; OTA может изменить одно без другого. Обе сборки ниже содержат побайтово идентичное ядро, поэтому они разделяют все смещения и различаются только строкой device-gate. docs/BUILDS.md — это индекс и дерево решений для нового образа; начните оттуда.

Запускающий скрипт отклоняет неожиданный отпечаток и проверяет каждую входящую в комплект полезную нагрузку перед выполнением. Этот репозиторий не содержит образов прошивки, ключей устройства или уникальных для устройства секретов.

Использование

Требования:

• Android Platform Tools с adb, доступным в PATH
• Включённая и авторизованная отладка по USB
• тепловой запас: попытки, начатые при температуре выше 55 °C, гораздо чаще терпят неудачу, и кампания дожидается подходящих условий, а не надеется на удачу

Из корня репозитория:

sh scripts/boot-campaign.sh -s <serial> -p bin/cve-2026-64560-fanout-op13-cp2a.260605.016 -n 10

После ROOT_SUCCESS любой новый терминал может открыть временную root-оболочку:

adb -s <serial> shell -T /data/local/tmp/su

Выполните id, чтобы убедиться в uid=0(root). Доступ сохраняется только на текущую загрузку; после перезагрузки запустите заново. Ни один раздел boot, vendor или system не изменяется.

Эксплойт содержит вероятностную гонку в ядре. Цепочка надёжно достигает стадии bridge и проходит её read gate примерно в одной загрузке из восьми, поэтому пустая серия загрузок не является доказательством того, что что-то сломано — планируйте загрузки, и см. docs/BUILDS.md насчёт одного счётчика, который выглядит как сигнал сбоя, но таковым не является.

scripts/boot-campaign.sh — это цикл запуска на POSIX sh, для хостов, где PowerShell-хост для scripts/root.ps1 недоступен. Оба применяют одни и те же условия.

Сборка

Android NDK r29 и API 35 — значения по умолчанию для воспроизводимой сборки. NDK по умолчанию отсутствует, поэтому укажите его корень:

.\scripts\build.ps1 -Profile profiles\op13\CP2A.260605.016.json -NdkRoot <path-to-ndk>

Скрипт собирает стратегии эксплойта и вспомогательный инструмент temporary-su, удаляет отладочную информацию из выходных файлов и проверяет их закреплённые значения SHA-256.

rotate собирается, но намеренно не продвигается: он уронил ядро на этом устройстве и не был повторно проверен после перекалибровки таймера.

Портирование на другую сборку

python tools/extract_image.py <boot.img> <out>   # compare the Image digest first
python tools/port_target.py --profile profiles/op13/<BUILD>.json

Всё, что принадлежит сборке, названо в честь этой сборки, поэтому две сборки одного устройства никогда не конфликтуют. См. docs/BUILDS.md для дерева решений и docs/PORTING.md для полного чек-листа.

Структура репозитория

Благодарности

Фреймворк эксплойта, который адаптирует этот репозиторий — исходники эксплойта, стадии получения учётных данных и восстановления, вспомогательный инструмент temporary-su, воспроизводимая сборка, адаптивный запуск и набор инструментов для портирования — происходит из адаптации dada для Xiaomi 15:

• https://github.com/quyicheng03-boop/xiaomi15-dada-cve-2026-64560

Смещения OnePlus 13, тюнинг гонки и валидация здесь были измерены на этом устройстве, а не перенесены; две цели ядра — это разные образы, поэтому почти каждый адрес отличается. Профиль и полезные нагрузки dada сохранены как эталон, на котором фреймворк изначально валидировался.

Оригинальный proof of concept и сама уязвимость находятся выше обоих:

• NebuSec/CyberMeowfia

Точные ревизии и исправления Linux перечислены в docs/UPSTREAM.md.

Лицензия

Apache License 2.0, унаследована от работы upstream. См. LICENSE и NOTICE.