Root My Galaxy SM-S9180 (dm3q) — FZG1-Payload-Ports

Ports des CVE-2026-43499-Payloads (UAF → KernelSU LKM temporärer Root) für Samsung Galaxy S23 Ultra SM-S9180 (dm3q).

Hongkong (TGY) — S9180ZHS8FZG1

• Kernel: 5.15.189-android13-8-33413713-abS9180ZHS8FZG1 (Sicherheitspatch 2026-07-05)
• Root-Methode: CVE-2026-43499 UAF-Exploit + KernelSU LKM (temporärer Root, geht beim Neustart verloren)
• Status: funktioniert — su -c id → uid=0(root) context=u:r:ksu:s0, ksud 3.2.5

Datei	Beschreibung
RootMyGalaxy-S9180-FZG1.apk	Signierte APK (v3, CN=RMG), installierbar, enthält Payload
cve-2026-43499-app.so	Gepatchte Payload, md5 ad6306e330897aa6b85b8badea1d60f7
fzg1-patch-spec.json	6 movz-Patches, angewendet auf die FZF5-Fork-Payload
target.h	FZG1-Zielprofil mit korrigierten Offsets
ISSUE.md	Issue-/Port-Bericht für das Upstream-Repository (BuSung-dev/Root-My-Galaxy-Payloads)

Zentrale Erkenntnis

Zwischen FZF5 und FZG1 haben sich nur 3 Datensymbole geändert (alle um +0x5c0 verschoben):

Symbol	FZF5	FZG1
kmalloc_caches	0x020641f8	0x020647b8
anon_pipe_buf_ops	0x01e7f1e0	0x01e7f7a0
ashmem_fops	0x0200d238	0x0200d7f8

Alle anderen Symbole (ashmem-Familie, init_task, prepare_kernel_cred usw.) sind unverändert. Die movz-Migration umfasst nur 6 Patches:

0x0067ec: 0xd238 -> 0xd7f8   (ashmem_fops)
0x007470: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x00754c: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x00765c: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x0078ac: 0x41f8 -> 0x47b8   (kmalloc_caches)
0x007af4: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)

China (CHC) — S9180ZCS8FZG1

Funktionierender Port für die chinesische Firmware — siehe CHC-README.md für die vollständigen Port-Notizen, einschließlich der CHC-kallsyms-Falle mit der Namensverschiebung um eins und den 10 korrigierten Datensymbol-Adressen.

Datei	Beschreibung
RootMyGalaxy-S9180-CHC.apk	Signierte APK (v3, CN=RMG), installierbar, enthält die CHC-Payload
cve-2026-43499-chc-app.so	Gepatchte CHC-Payload, md5 5292cdf88e64cf54bd1b4b44f63e45ed
chc-patch-spec.json	10 movz-Patches, angewendet auf die funktionierende TGY-FZG1-Payload
chc-target.h	CHC-Zielprofil mit korrigierten Offsets

• Kernel: 5.15.189-android13-8-3251900-abS9180ZCS8FZG1 (Build 3251900)
• Status: funktioniert — Exploit gelingt beim ersten Versuch; chinesischer Negativ-Screen (三星智慧主页) + Google GMS koexistieren auf demselben ROM.

S9180ZCS8FZH3 (Patch 2026-08) — GhostLock weiterhin nicht behoben

Die nachfolgende CHC-Firmware (Kernel gebaut am 12. Aug. 2026, gleicher Versionsstring) wurde gegen ZG1 disassembliert: remove_waiter() ist instruktionsidentisch (1331 Instruktionen, 0 strukturelle Unterschiede) und rt_mutex_start_proxy_lock / task_blocks_on_rt_mutex sind byte-identisch — der Upstream-Fix 3bfdc63936dd fehlt. Nur der rodata-Bereich wurde neu gebaut, wodurch 3 Datensymbole um −0xC0 verschoben wurden. Root wurde auf ZH3 mit der portierten Payload als funktionierend verifiziert.

Datei	Beschreibung
RootMyGalaxy-S9180-CHC-ZH3.apk	Signierte APK (v3, CN=RMG) für S9180ZCS8FZH3
cve-2026-43499-chc-zh3-app.so	ZH3-Payload, md5 d7de6cebf66975f40d7d301fe2f0d7f3
chc-zh3-patch-spec.json	6 movz-Patches (3 Symbole um −0xC0 verschoben)

Installation & Ausführung

# 1. Install the APK matching your firmware
adb install -r RootMyGalaxy-S9180-FZG1.apk       # TGY  S9180ZHS8FZG1
adb install -r RootMyGalaxy-S9180-CHC.apk        # CHC  S9180ZCS8FZG1
adb install -r RootMyGalaxy-S9180-CHC-ZH3.apk    # CHC  S9180ZCS8FZH3

# 2. Launch the app and run the exploit (one attempt)
# Root is temporary: re-run the exploit after every full reboot.

Einschränkungen

• Nur temporärer Root (KernelSU LKM): geht bei vollständigem Neustart verloren, wird durch erneutes Ausführen des Exploits wiedererlangt.
• KernelSU-Soft-Reboot erhält den Root.
• Verwende niemals die In-App-Schaltfläche „update“ für Module — installiere Zips immer manuell.
• Unter CHC: Der UMH-Daemon im Kernel-Kontext (u:r:kernel:s0) wird von Samsung DEFEX daran gehindert, pm install auszuführen (SIGKILL) — verwende KernelSU su (u:r:ksu:s0).