CVE-2026-43499-ZFOLD4

Gerätespezifischer Forschungsport von CVE-2026-43499 (IonStack PI write-what-where) für das kanadische Galaxy Z Fold4 SM-F936W auf Firmware F936WVLU1AVGA.

Dieses Repository ist das Fold4-Pendant zu CVE-2026-43499-S24U und CVE-2026-43499-A36. Es hält den aktuellen unvollständigen Stand fest: Reclaim, das Schärfen der Leftover-Stack-UAF und die Abdeckung von leftover.lock sind vorhanden; die [7]-Einfügung von lock.waiters landet nie auf der zurückgewonnenen Seite. CFI / physrw / root werden nicht erreicht.

Offsets und Layouts gelten nur für diese Firmware. Übernimm keine Konstanten von S24U / S25 / A36 / S9180 / GRKU auf dieses Ziel. Insbesondere ist SKB_DATA_DELTA hier -0xe80 (S9180 ist -0x1000).

Verwende dies nur auf Geräten, die dir gehören oder für die du ausdrücklich zum Testen autorisiert bist.

Unterstütztes Ziel

Model:        SM-F936W
Codename:     q4q
Board:        taro (Snapdragon 8 Gen 1)
Android:      12 / One UI 4.1.1 (SDK 32)
AP / PDA:     F936WVLU1AVGA
Fingerprint:  samsung/q4qcsx/q4q:12/SP2A.220305.013/F936WVLU1AVGA:user/release-keys
Kernel:       5.10.81-android12-9-24709469-abF936WVLU1AVGA
Architecture: arm64 / 4K pages
Serial used:  RFCT70A6APD (authorized owner device)

Image-SHA-256 9ec34bbfa6a732001ead04a3e6aea8a6ad2283e3280b8b7d024c47056003fe3d. Wiederhergestellte SHA-256 von vmlinux.elf a5a5fa849f3e47f185d8cf4d5796b2ada10d251153a5fcea51ba138e0c565a0c. Das rohe Image und vmlinux.elf werden nicht mitgeliefert (siehe analysis/boot-unpack/SHA256SUMS).

Status (ehrlich)

Neuestes Live-Artefakt: analysis/artifacts/cve-2026-43499-v104-resscan (SHA-256 dd7968e71f2c151be46b7c386cd1380ace191854d36c08c11283266b82c8656b), Boot f5264a43-7544-460e-a70d-becf90960383, warranty_bit=0.

Siehe docs/PROGRESS.md für die Meilensteinmatrix.

Was dieser Baum enthält

• Zielprofil src/targets/q4q-F936WVLU1AVGA/ (Image-gestützte Offsets).
• Diagnose-Payload (src/): so1000-Leftover-Platzierung, Stamp-SP-Messung, Residual-Peek an beliebiger Stelle, DIAG_LOCK_MINIMAL.
• Fold4-Analyse: Boot-Unpack-Texte, Disassembly, kuratierte v93/v96/v101/v103/v104-Logs, ausgewählte Diagnose-Binaries.
• Lineage-Payload-Ziele / Portierungsnotizen von Root-My-Galaxy-Payloads feature/grku-race-parity @ 749633c (keine Fold4-Konstanten).

Es enthält keine Firmware-Tarballs, kein rohes Kernel-Image, kein vmlinux.elf, keinen Android-Anwendungsquellcode und kein Fold4-KernelSU-Modul.

Erstellen

export ANDROID_NDK_HOME=/path/to/android-ndk   # NDK r29 or compatible
make TARGET=q4q-F936WVLU1AVGA API=32

Ausgaben:

build/q4q-F936WVLU1AVGA/cve-2026-43499
build/q4q-F936WVLU1AVGA/cve-2026-43499-app.so
build/q4q-F936WVLU1AVGA/cve-2026-43499-root

Behandle die Binaries als diagnostisch. Betrachte ein success=1-setattr nicht als abgeschlossenen [7]- oder [11]-Write.

Eingefrorene Parameter

Behalte diese bei, sofern keine neue Image-Erkenntnis eine Änderung erzwingt:

DIAG_RECLAIM_PREDRAIN_SENDS=768
DIAG_RECLAIM_SENDS=1
DIAG_WRITE_SHAPE=3
DIAG_SELF_WRITE_OFF=0x6000
DIAG_PERF_RESIDUAL=1
DIAG_RECLAIM_PEEK=1

Hinweise

• Deepening-Spray, defer-all32 oder das Wiederherstellen von ASHMEM_MISC_FOPS vor einem skb-Peek-Self-Write-HIT (self_src == fake_fops) ist auf dieser Firmware nicht nützlich.
• Das Setzen von leftover.task auf init_task oder das Seiten-fake_task unterdrückt [7]. Auch das Punchen von leftover.task, empty-leftmost oder prio=0 schlägt fehl.
• Ein Same-Core-Remote-setattr startet das Gerät neu.
• Übernimm keine numerischen Konstanten von einem anderen Gerät.

Dokumentation

Referenz

• IonStack / CVE-2026-43499-Linie (NebuSec CyberMeowfia und verwandte Ports)
• Payload-Framework: BuSung-dev/Root-My-Galaxy-Payloads
• A36-Standalone: fusiondrive/CVE-2026-43499-A36
• S24U-Forschung: fusiondrive/CVE-2026-43499-S24U

Apache-Lizenz 2.0: LICENSE.