Redmi K50 Gaming (ingres) — CVE-2026-43499 (GhostLock) временный Root PoC

Временный Root в один клик без разблокировки BL. Используя цепочку локального повышения привилегий GhostLock (CVE-2026-43499, futex PI Use-After-Free) получаем root-якорь, затем через KernelSU 3.2.5 late-load монтируем модуль kernelsu в работающее ядро, а с помощью KSU-модуля поддерживаем SELinux Permissive и исправляем сеть.

Целевое устройство: Redmi K50G / POCO F4 GT — кодовое имя ingres, SoC SM8450 (Snapdragon 8 Gen 1) Система: Android 14, UKQ1.240624.001, ядро 5.10.209-android12 (KMI android12-5.10) Статус: ✅ Временный Root успешно проверен на реальном устройстве

1. Описание файлов

2. Метод успеха / цепочка повышения привилегий

Вся цепочка состоит из четырёх шагов:

1. Срабатывание UAF GhostLock (CVE-2026-43499)
   • Кольцевая топология futex PI (FUTEX_WAIT_REQUEUE_PI + FUTEX_CMP_REQUEUE_PI) создаёт висячий rt_mutex_waiter в стеке ядра;
   • С помощью отпечатка стека ядра (пути sysctl и т.п.) поддельные поля waiter записываются в освобождённую область;
   • Потребляющий поток запускает обход rt_mutex_adjust_prio_chain, получая контролируемые примитивы чтения/записи в ядре.
2. Root-якорь в ядре
   • Через примитив записи внедряется cred (uid/gid=0, полные caps, kernel SID), получая процесс root-якоря (в логах anchor: ROOT uid=0);
   • Внутри якоря fork: root shell (SHELL_ROOT=1) и su daemon (SU_DAEMON=1, /data/local/tmp/su).
3. KernelSU late-load
   • Модуль ядра kernelsu.ko загружается через libksud.so late-load --kmi 5.10.209-android12 в работающее ядро (без прошивки/патча boot-образа, точное соответствие текущему KMI устройства);

3. Использование

Способ A: Windows в один клик (рекомендуется)

1. Включите на телефоне параметры разработчика + USB-отладку, подключите к компьютеру;
2. Дважды щёлкните Root-K50G.bat;
3. По запросу разрешите авторизацию USB-отладки на телефоне;
4. Повышение привилегий занимает около 1–3 минут, после завершения текущая adb-сессия сразу становится root shell, введите id для проверки uid=0(root);
5. Также можно проверить через /data/local/tmp/su -c id.

Способ B: Ручной adb

adb push exploit /data/local/tmp/exploit
adb push ksu_loader.sh /data/local/tmp/ksu_loader.sh
adb shell chmod 755 /data/local/tmp/exploit /data/local/tmp/ksu_loader.sh

adb shell "env NO_COLOR=1 SE_LINUX=1 KSU_LOADER=1 SHELL_ROOT=1 SU_DAEMON=1 SUSPECT_CPU=99999 KS_MAX_TRIES=8 /data/local/tmp/exploit"

Проверка после завершения:

adb shell /data/local/tmp/su -c id
# uid=0(root) gid=0(root) ...

4. Переменные окружения

5. Примечания

• Обработка обрыва сети: если KSU возвращает Enforcing и сеть пропадает, service.sh модуля chuxin_permissive_netfix автоматически сбрасывает атрибуты и перезапускает netd (работает и после установки модулей типа LSPosed);
• Root временный: после перезагрузки теряется, нужно заново запускать эксплойт; режим SELinux Permissive автоматически восстанавливается модулем KSU после загрузки;
• Данный способ не требует разблокировки Bootloader и прошивки.

6. Отказ от ответственности

Содержимое данного репозитория предназначено только для исследований безопасности и тестирования на личных устройствах. Повышение привилегий/изменение состояния системы сопряжено с определённым риском; неправильные действия могут привести к «кирпичу» устройства или потере данных. Используйте только при полном понимании принципов и на свой страх и риск, не используйте в незаконных целях.

Справка: CVE-2026-43499 (GhostLock) — UAF в наследовании приоритетов futex в ядре Linux, затрагивает ядра 2.6.39 ~ 7.1, позволяет локальное повышение привилегий.