Разблокировка загрузчика ZTE Blade V40 Vita — P606F02 / Unisoc UMS9230 / UFS

Заметки и скрипты для Linux по разблокировке с помощью CVE-2022-38694. Выполнено на моём EEA_P606F02 с MyOS11.0.13_8045_EEA.

Два обстоятельства решают, сработает ли это, и ни одно из них нигде не описано:

Никогда не удерживайте POWER во время прошивки. ~10 с POWER = жёсткий сброс PMIC = USB-соединение обрывается посреди загрузки (SEND fdl2-dl.bin → connection closed). Удерживайте только VOL_UP + VOL_DOWN. Нажмите POWER один раз, если нужен сброс.
После разблокировки телефон зависает на логотипе MyOS, а обычная очистка BCB через misc ничего не даёт — этот загрузчик её игнорирует. Стирайте userdata + metadata через BROM.

Устройство


Модель	ZTE Blade V40 Vita — `ZTE 8045` / `EEA_P606F02`
SoC / накопитель	Unisoc UMS9230 / UFS
Пакет	`ums9230_universal_unlock_UFS`. Файлы UFS `fdl2-*.bin` имеют размер 934088 байт; файлы eMMC — ~1 МБ. Неправильные загрузчики могут стереть телефон
ОС / слот	Android 11, MyOS11.0.13 · слот `_b`

Сборка инструментов

git clone --recursive https://github.com/TomKing062/CVE-2022-38694_unlock_bootloader
cd CVE-2022-38694_unlock_bootloader
gcc chsize.c -o chsize
gcc gen_spl-unlock.c -o gen_spl-unlock
cd spreadtrum_flash && make      # spd_dump

Поместите chsize, gen_spl-unlock, spd_dump и четыре файла из пакета UFS (fdl1-dl.bin, fdl2-dl.bin, fdl2-cboot.bin, misc-wipe.bin) в один рабочий каталог. Приведённые ниже скрипты выполняются в этом каталоге.

Вход в BROM

Телефон выключен → зажмите VOL_UP + VOL_DOWN → подключите USB → продолжайте удерживать. Вам нужен USB 1782:4d00:

for d in /sys/bus/usb/devices/*/; do
  [ "$(cat $d/idVendor 2>/dev/null)" = 1782 ] && echo "BROM: $(basename $d)"
done

19d2:135x — это обычный USB телефона, а не BROM. Телефон в цикле загрузки — это нормально: каждая перезагрузка заново запускает BootROM, который повторно опрашивает клавиши при сбросе.

Разблокировка

По одному шагу за раз, повторно входя в BROM перед каждым. Держите клавиши громкости нажатыми во время выполнения.

cd /path/to/working-dir
sudo /path/to/repo/scripts/unlock.sh 1   # back up SPL + uboot_b, erase SPL (won't boot after this)
sudo /path/to/repo/scripts/unlock.sh 2   # prep images locally, phone not needed
sudo /path/to/repo/scripts/unlock.sh 3   # write fdl2-cboot.bin to uboot_b
sudo /path/to/repo/scripts/unlock.sh 4   # the unlock. ends in "connection closed" = success
sudo /path/to/repo/scripts/unlock.sh 5   # read miscdata @8192: 64 zeros = locked, string+2 hashes = unlocked
sudo /path/to/repo/scripts/unlock.sh 6   # restore uboot/SPL. never skip this

Шаг 4 завершается на EXEC FDL1 → тайм-аут → connection closed. Это означает, что разблокировка сработала, а не провалилась. Если на шаге 5 отображаются нули, запустите шаг 4 снова.

Шаг 3 оставляет телефон неспособным загрузить Android (payload не является настоящим загрузчиком) — шаг 6 возвращает ваш стоковый uboot_bak.bin на место. Не останавливайтесь между ними.

Застряли на логотипе MyOS

Ключи FBE в trustos привязаны к состоянию блокировки, поэтому /data никогда не смонтируется. Стирание обязательно:

sudo /path/to/repo/scripts/fix-post-unlock-hang.sh

Удерживайте клавиши громкости — он перевзводится сам, пока не поймает BROM. Стирает userdata + metadata, записывает BCB, перезагружает. Поймал с третьей попытки, заняло меньше минуты.

Проверка

adb shell getprop ro.boot.flash.locked          # 0
adb shell getprop ro.boot.verifiedbootstate     # orange
adb shell getprop ro.boot.vbmeta.device_state   # unlocked

fastboot getvar бесполезен на этом устройстве (возвращает пустое значение для всего), поэтому не ищите там подтверждения.

После этого

Это устройство VAB без раздела recovery. Всегда запрашивайте активный слот перед прошивкой:

adb shell getprop ro.boot.slot_suffix

Стоковый загрузочный образ B06 требует повторной подписи вывода Magisk перед прошивкой. Проверенная процедура стоковой прошивки, подписи AVB и восстановления под Windows описана в docs/windows-flash-root.md. Загубите загрузочный образ — BROM всё равно работает. Карта разделов: docs/partition-table.md.

Повторная блокировка: возможна (обнуление токена miscdata через BROM), но бессмысленна с точки зрения безопасности — уязвимость BootROM неустранима, любой может разблокировать заново теми же шагами.

Благодарность: CVE-2022-38694 принадлежит NCC Group. Инструментарий — TomKing062. Скрипты здесь под MIT. Они сотрут ваш телефон; это ваша ответственность.

Популярное

zte-blade-v40-vita-unlock