CVE-2026-43499 PoC für Galaxy S24 Ultra (SM-S928U1)

Gerätespezifischer Forschungsport von CVE-2026-43499 für das US-Samsung Galaxy S24 Ultra auf Firmware S928USQS6DZF2 (App-Domain / Produktionspfad).

Dieses Repository ist das S24U-Gegenstück zu CVE-2026-43499-S25U. Es dokumentiert den aktuellen unvollständigen Fortschritt: Control Plane und residuales Stack-UAF-Arming sind vorhanden; ein sauberer Gate-Write (hits>0) ist noch nicht erreicht.

Unterstütztes Ziel

Model:       SM-S928U1
Codename:    e3q
Android:     14 / BP4A.251205.006 (display family)
Build / AP:  S928U1UES6DZF2 / S928USQS6DZF2
Fingerprint: samsung/e3qsqw/e3q:14/UP1A.231005.007/S928USQS6DZF2:user/release-keys
Kernel:      6.1.145-android14-11-33419968-abS928USQS6DZF2
Architecture: arm64 / 4K pages

Offsets und Layouts gelten ausschließlich für diese Firmware. Übernehmen Sie keine Konstanten zwischen Builds ohne Belege.

Status (ehrlich)

Blocker: walk-sichere residuale Geometrie. Ein echter RB_EMPTY-Plant benötigt residuale Kernel-VA (APP_STAMP_RESIDUAL_ADDR / APP_STAMP_OVERLAY_BASE). Gefälschte Bäume und KEEP-Overlays (die unter FD_ZERO auf null gesetzt werden) führen beim erzwungenen Walk zu einem Panic. Siehe docs/PROGRESS.md.

Referenzen

• IonStack / CVE-2026-43499-Linie (NebuSec CyberMeowfia und verwandte Ports)
• Eigenständiger S25U-PoC: BuSung-dev/CVE-2026-43499-S25U
• App-Domain-Verdrahtung abgeleitet aus dem Forschungszweig agent/s928u-bp4a-251205-006 von Root-My-Galaxy-Payloads (E3Q DZF2)

Apache-Lizenz 2.0: LICENSE.

Was dieser Port enthält

• Zielprofil e3q-S928USQS6DZF2 (physikalisches P0-Orakel, Bank-Layout, Pipe- Geometrie für DZF2).
• App-Domain-Payload (cve-2026-43499-app.so) mit slide_app.c: residuale Stamp-Plants, soft_match, REPLANT-Walk, walk_nice, NO_PLANT, EMPTY-Plant-Hooks, Bank-Peek, Drain-Verdrahtung.
• Root-Helfer mit O_APPEND-Log-Open (vermeidet Parent/Child-Log-Überschreiben).
• Optionale eigenständige Preload-Binärdatei (tracefs-Pfad; nicht der primäre S24U-App-Forschungspfad).

Build

export ANDROID_NDK_HOME=/path/to/ndk   # e.g. r28 / API 34 clang
make -j$(nproc)
# or:
make app API=34

Ausgaben:

build/e3q-S928USQS6DZF2/cve-2026-43499-app.so
build/e3q-S928USQS6DZF2/cve-2026-43499-root
build/e3q-S928USQS6DZF2/cve-2026-43499          # optional standalone

Bereitstellung (App-Domain-Forschung)

Windows-ADB (oder Host-ADB) gegen die Seriennummer R5CXB20H9FD (Beispiel- Forschungseinheit):

# Prefer the rebuilt helper (O_APPEND logs), not only the APK copy.
adb push build/e3q-S928USQS6DZF2/cve-2026-43499-app.so /data/local/tmp/
adb push build/e3q-S928USQS6DZF2/cve-2026-43499-root /data/local/tmp/

adb shell "run-as dev.busung.s25uroot sh -c '
  mkdir -p files/payload-overrides/e3q-S928USQS6DZF2
  cp /data/local/tmp/cve-2026-43499-app.so \
     files/payload-overrides/e3q-S928USQS6DZF2/
  cp /data/local/tmp/cve-2026-43499-root files/
  chmod 700 files/cve-2026-43499-root \
    files/payload-overrides/e3q-S928USQS6DZF2/cve-2026-43499-app.so
'"

Sichere Basislinie (überlebt; hits=0)

export APP_STACK_UAF_STAMP=1
export APP_STAMP_PLANT=soft
export APP_STAMP_SOFT_MATCH=1
export APP_STAMP_FIXED_SHIFT=2
export APP_BANK_VALID_ROOT=1
export APP_STAMP_STATUS_PATH=/data/user/0/dev.busung.s25uroot/files/stamp_status_last.txt
# run via helper --run-payload ... (see docs/PROGRESS.md)

Erzwungener Walk (nur Forschung; derzeit KP)

# After soft_match plant: change residual prio then force task nice change.
export APP_STAMP_REPLANT_WALK=1
export APP_STAMP_WALK_PRIO=100
export APP_STAMP_WALK_NICE=18   # must differ from first nice (default 19)
# Prefer EMPTY bank for some paths; still KP without residual kVA EMPTY plant

Scannen Sie die Plant-Shifts 0–4 nicht erneut; Basis 2 ist etabliert.

Dokumentation

Sicherheit und Rechtliches

Nur auf Geräten verwenden, die Ihnen gehören oder für die Sie ausdrücklich zum Testen autorisiert sind. Dieser Baum ist Forschungssoftware für einen gesperrten Produktions-Telefonpfad; er ist kein fertiger Root- oder KernelSU-Installer.

KernelSU

Die KernelSU-Integration ist nicht vorgesehen, bis ein zuverlässiger Pipe/phys-Write und ein Root-Pfad existieren. Behandeln Sie dieses Repository nicht als KSU-bereit.