Redmi K50 Gaming (ingres) — CVE-2026-43499 (GhostLock) 临时 Root PoC

免解锁 BL 一键临时 Root。利用 GhostLock（CVE-2026-43499, futex PI Use-After-Free） 本地提权链拿到 root 锚点，随后通过 KernelSU 3.3.0 late-load 方式把 kernelsu 模块挂载进运行中的内核，配合 KSU 模块保持 SELinux Permissive 并修复网络。

Целевое устройство: Redmi K50G / POCO F4 GT — кодовое имя ingres, SoC SM8450 (Snapdragon 8 Gen 1) Система: Android 14, UKQ1.240624.001, ядро 5.10.209-android12 (KMI android12-5.10) Статус: ✅ Временный Root успешно проверен на реальном устройстве

1. Описание файлов

Файл	Назначение
`exploit`	Бинарник повышения привилегий GhostLock (ARM64 PIE, не strip). Внутри содержит KernelSnitch mm-коллизионное позиционирование, перезапись стека futex PI UAF, якорный root ядра, su daemon, встроенный `libksud.so` и логику late-load KSU
`Root-K50G.bat`	Одноклик-скрипт для Windows (определяет файлы по собственному каталогу, работает по двойному клику): обнаружение устройства → отправка файлов → запуск повышения привилегий → прямой вход в root shell
`ksu_loader.sh`	Выполняется уже root-якорем ядра: `libksud.so late-load --kmi 5.10.209-android12` загружает KernelSU и последовательно запускает этапы `post-fs-data` / `services` / `boot-completed`
`ksu-module/chuxin_permissive_netfix/`	Модуль KernelSU (module.prop + service.sh): каждые 2 секунды следит за `enforce=0`, а также сбрасывает защитные свойства, перезапускает netd, включает wifi/данные для исправления отсутствия сети
`adb/`	Встроенные инструменты adb (портативные, без установки)
`adb驱动无需重启.exe`	Инструмент установки драйверов Xiaomi в один клик

2. Рабочий метод / цепочка повышения привилегий

Вся цепочка состоит из четырёх шагов:

Срабатывание GhostLock UAF (CVE-2026-43499)
- кольцевая топология futex PI (FUTEX_WAIT_REQUEUE_PI + FUTEX_CMP_REQUEUE_PI) создаёт висячий rt_mutex_waiter в стеке ядра;
- с помощью stamp стека ядра (пути sysctl и т.п.) поля поддельного waiter перезаписываются в освобождённое место;
- поток-потребитель запускает обход rt_mutex_adjust_prio_chain, получая контролируемые примитивы чтения/записи ядра.
Якорный root ядра
- через примитив записи внедряется cred (uid/gid=0, полные caps, kernel SID), получая процесс-якорь root (anchor: ROOT uid=0 в журнале выполнения);
- внутри якоря выполняется fork: root shell (SHELL_ROOT=1) и su daemon (SU_DAEMON=1, /data/local/tmp/su).
Late-load KernelSU
- модуль ядра kernelsu.ko загружается в работающее ядро через libksud.so late-load --kmi 5.10.209-android12 (без прошивки/патча boot-образа, с точным соответствием текущему KMI устройства);
- ksu_loader.sh последовательно выполняет post-fs-data, services, boot-completed, чтобы фреймворк управления KernelSU (ksud) корректно поднялся.
Поддержание Permissive + исправление сети
- модуль KSU chuxin_permissive_netfix устанавливается в /data/adb/modules/: его service работает в домене ksu (имеет право security:setenforce), каждые 2 секунды записывает enforce обратно в 0, противодействуя поведению ksud, который после boot-completed переключает SELinux обратно в Enforcing (защита от AVC-отказов su socket + отсутствия сети);
- через ~10 с после первой загрузки сбрасываются свойства ro.boot.flash.locked / verifiedbootstate / бита гарантии и перезапускается netd, исправляя сеть после Root.

3. Способ использования

Способ A: одноклик в Windows (рекомендуется)

Включите на телефоне параметры разработчика + отладку по USB, подключите к компьютеру;
Дважды кликните Root-K50G.bat;
По подсказке разрешите на телефоне авторизацию отладки по USB;
Повышение привилегий занимает около 1~3 минут, после завершения текущая сессия adb сразу становится root shell, введите id для проверки uid=0(root);
Также можно проверить через /data/local/tmp/su -c id.

Способ B: вручную через adb

adb push exploit /data/local/tmp/exploit
adb push ksu_loader.sh /data/local/tmp/ksu_loader.sh
adb shell chmod 755 /data/local/tmp/exploit /data/local/tmp/ksu_loader.sh

adb shell "env NO_COLOR=1 SE_LINUX=1 KSU_LOADER=1 SHELL_ROOT=1 SU_DAEMON=1 SUSPECT_CPU=99999 KS_MAX_TRIES=8 /data/local/tmp/exploit"

Проверка после завершения работы:

adb shell /data/local/tmp/su -c id
# uid=0(root) gid=0(root) ...

4. Переменные окружения

Переменная	По умолчанию	Значение
`NO_COLOR`	0	Отключить цветные логи
`SE_LINUX`	0	Включить SELinux Permissive flip (прямая запись enforce через якорь ядра)
`KSU_LOADER`	0	Выполнить `ksu_loader.sh` внутри root-якоря (KernelSU late-load)
`SHELL_ROOT`	0	Форкнуть root shell внутри якоря
`SU_DAEMON`	0	Запустить демон `/data/local/tmp/su` внутри якоря
`SUSPECT_CPU`	-	Указать подозрительный CPU (привязка якоря), `99999` означает авто
`KS_MAX_TRIES`	-	Верхний предел попыток mm-коллизии/якоря KernelSnitch

5. Примечания

Обработка потери сети: когда KSU возвращает Enforcing и это приводит к потере сети, service.sh модуля chuxin_permissive_netfix автоматически сбрасывает свойства и перезапускает netd (также работает после прошивки модулей вроде LSPosed);
Root является временным: после перезагрузки перестаёт действовать, требуется повторный запуск повышения привилегий; режим Permissive SELinux автоматически восстанавливается модулем KSU после загрузки;
Данное решение не требует разблокировки Bootloader и не требует перепрошивки.

6. Отказ от ответственности

Содержимое этого репозитория предназначено исключительно для исследований в области безопасности и тестирования на личных устройствах. Повышение привилегий/изменение состояния системы сопряжено с определённым риском; неправильные действия могут привести к превращению устройства в «кирпич» или потере данных. Используйте только при полном понимании принципов работы и на свой страх и риск, не применяйте в противоправных целях.

Ссылка: CVE-2026-43499 (GhostLock) — UAF в механизме наследования приоритетов futex ядра Linux, затрагивает ядра 2.6.39 ~ 7.1, позволяет локально повысить привилегии.

Популярное

K50G-POCOF4GT-CVE-2026-43499-PoC