Samsung Tizen 9 TV Root — Research-Toolkit

Inoffizielle Sicherheitsforschung an einem Samsung Neo QLED von 2024 mit Tizen 9. Kein sdb, kein Entwicklermodus, kein Firmware-Flashing: Der Fernseher wird über seinen eigenen Browser gerootet, und der Root-Zugriff wird durch eine werksseitige On-Boot-Service-App dauerhaft gemacht.

Testgerät	2024 Neo QLED, QNX1D-Serie (QTV T09-Plattform)
Firmware	T-PTMxxxx (01400)
Kernel	Linux 5.4.249, ARM32 (VMSPLIT_3G + HIGHMEM, kein LPAE), PAGE_OFFSET 0xC0000000, PHYS_OFFSET 0x20000000
Browser	Chromium 120.0.6099.5 (SamsungBrowser/7.0)
Root	uid=0, CapEff=0x3fffffffff
Persistentes Payload	Repo v41 (aktueller md5/Size in der Statuszeile von AGENTS.md — aus dem Artefakt neu erzeugt); das Testgerät läuft mit demselben Build (bereitgestellt am 2026-10-27, Beacons tragen tok=); payload_backup.dll behält den vorherigen Build
Root-Kanal	TCP 31337 auf dem Fernseher, Zeilenprotokoll, Antworten enden mit __END__

Schnellstart

pwsh -File .\root.ps1 -TvIp <tv-ip>        # root the TV
pwsh -File .\uninstall.ps1 -TvIp <tv-ip>   # restore stock

root.ps1 läuft auf dem PC und steuert alles: Es startet den Server auf Port 80, rootet den Browser-Stub, installiert die Boot-Payload und wartet nach dem Neustart auf den Root-Kanal. Zwei Schritte bleiben auf der TV-Fernbedienung und das Skript fordert zu beiden auf:

1. die ausgegebene URL http://<pc-ip>/index.html öffnen und auf RUNNING warten;
2. den TV einmal aus- und wieder einschalten, sobald das Deployment verifiziert ist.

Dann:

python tools\root_shell.py "id" <tv-ip>   # talk to the TV's root channel

Jede Option, die genauen Eingabeaufforderungen, die erwartete Ausgabe, der Hinweis zur Host-IP und der manuelle Fallback: docs/USAGE.md.

Funktionsweise

1. Browser-RCE — CVE-2024-2887 (WasmGC-Typverwechslung) in Chromium 120 ermöglicht beliebiges Lesen/Schreiben und ARM-Shellcode-Ausführung innerhalb des Renderers.
2. Physmap — die V4L2-Codec-Knoten (/dev/video40/30/60) akzeptieren ein vom Angreifer gewähltes vm_pgoff in mmap() und übergeben es ungeprüft an remap_pfn_range(): beliebiges Lesen/Schreiben physischen Speichers aus einem unprivilegierten Prozess (uid 5001, Gruppe video).
3. Root — das Kernel-Image und init_task im physischen Speicher finden, unsere eigene Task über den real_parent eines geforkten Kindprozesses lokalisieren und die Credentials auf null setzen.
4. Persistenz — die IL-Assembly eines Standard-app_onboot-Dienstes durch eine .NET-Payload ersetzen, die bei jedem Boot den Physmap-/Cred-Patch wiederholt, ihren Knoten schließt und einen Root-Kommando-Kanal auf TCP 31337 bereitstellt.

Kein GPU-CVE, kein Kernel-Exploit, kein signiertes Modul. Die Physmap ist der interessante Teil; die schrittweise Ausarbeitung mit den gemessenen Konstanten steht in docs/EXPLOIT.md.

Dokumentation

Dokument	Inhalt
docs/USAGE.md	Ausführung: Optionen, Eingabeaufforderungen, erwartete Ausgabe, Deinstallationsdetails, Wiederherstellung
docs/EXPLOIT.md	die Kette Schritt für Schritt, mit den firmwarespezifischen Konstanten
docs/ROOT-METHODS.md	jede evaluierte Root-/Persistenzmethode und die, die gewonnen hat
docs/FAILED.md	was nicht funktioniert hat und warum — liest sich wie eine Liste von Sackgassen, spart Wochen
docs/BOOT-REGRESSION-SMACK.md	der subtilste Bug im Projekt: ein falsches SMACK-Label ließ die App vor Main sterben
docs/PORTABILITY.md	ein anderer Tizen-9-TV: die vier Hürden, was neu zu messen ist, eine schrittweise Portierung
docs/SERVER-HOSTING.md	der PC-seitige Server: wie er laufen muss, die Falle des stillen Todes, Firewall, Logs
docs/SCRIPT-REVIEW.md	Audit der Skripte auf Produktionsreife
docs/TESTING.md	die Testebenen, offline und auf dem TV, und was jede einzelne abfängt
docs/LOGGUIDE.md	jeder Beacon und jeder Tool-Fehler entschlüsselt, mit nächsten Schritten
docs/REFERENCE-MATERIALS.md	wo man Firmware / GPL-Quellen / Sim-Tooling für das eigene Modell herunterlädt
docs/REVIEW-HISTORY.md	abgeschlossene Review-Befunde und ihre Belege (Archiv)
docs/OPEN-ISSUES.md	aktueller Stand, ausstehende Arbeiten und die Historie abgeschlossener Reviews/Durchläufe
AGENTS.md	Übergabe: Werkzeuge, Vorgehen, Verifikation, Fallstricke, Wiederherstellung
CHANGELOG.md	datierte Historie dessen, was sich geändert hat und warum
SECURITY.md	die unauthentifizierte 31337-Backdoor, Umfang, Meldung, rechtliche Aspekte
NOTICE.md	Namensnennung Dritter; welche Dateien nicht neu lizenziert sind
LICENSE	MIT für die Originalarbeit (Dateien Dritter ausgenommen)

Repository-Aufbau

root.ps1, uninstall.ps1     PC entry points (PowerShell)
payload/                    boot payload source (.NET 6, Program.cs)
server/                     port-80 server, exploit page, TV-side deploy scripts
tools/                      physmap client, kernel helpers, build scripts
docs/                       the documents above
AGENTS.md                   hand-off notes
LICENSE, NOTICE.md          license + third-party attribution
SECURITY.md                 backdoor/scope/reporting

Das gesamte Toolkit ist eingecheckt, sodass ein Klon ohne einen weiteren Arbeitsbaum läuft. server/payload.dll ist absichtlich enthalten (byte-identisch zur Build-Ausgabe), damit das Toolkit ohne ein .NET SDK funktioniert. Laufzeitprotokolle, Build-Ausgaben und das pro Host generierte Deploy-Skript werden von Git ignoriert und niemals über HTTP ausgeliefert.

Anforderungen