CVE-2026-43499 - Samsung 5.10 Kernel-Geräte (IonStack)

https://github.com/user-attachments/assets/f3d0858d-f8f5-444f-8ae5-541c2bc744c3

Obwohl dieses Repository ursprünglich als gerätespezifischer Port für das Galaxy S22 Ultra entstanden ist, hat sich das Projekt seither verlagert und erweitert, um alle Samsung-Geräte mit dem Linux Android 12 5.10-Kernel zu unterstützen.

Das Exploit-Framework unterstützt sowohl Qualcomm- (z. B. Snapdragon 8 Gen 1 / SM8450) als auch Samsung Exynos-Architekturen (z. B. Exynos 2200) und passt Kernel-Layouts, CFI-Dispatch, KASLR-Slide-Ableitung und Race-Choreografie an 5.10-GKI-Strukturen an. Jedes Samsung-Gerät mit einem 5.10-Kernel kann unterstützt werden, indem seine Symbole und Struct-Layouts mit target_generator in einen Zielordner unter src/targets/<TARGET> extrahiert werden.

Unterstützte Geräte & Targets

Die folgenden vorkonfigurierten Target-Profile sind in src/targets/<TARGET> enthalten. Jedes Profil enthält verifizierte Kernel-Offsets, Struktur-Layouts und Target-Konfigurationen für die jeweilige Firmware-Version:

Gerät	Modell	Target / Build	SoC	Android	Region / Hinweise
Galaxy S22	SM-S901B	S901BXXSNGZD7	Samsung Exynos 2200	Android 16	Europa / International
Galaxy S22	SM-S901E	S901EXXSEGZE3	Qualcomm Snapdragon 8 Gen 1	Android 16	Global / Lateinamerika / Asien / Afrika
Galaxy S22	SM-S901U1	S901U1UESAGZF3	Qualcomm Snapdragon 8 Gen 1	Android 16	USA (Factory Unlocked)
Galaxy S22	SM-S901U1	S901U1UESAGZH3	Qualcomm Snapdragon 8 Gen 1	Android 16	USA (Factory Unlocked)
Galaxy S22	SM-S901U	S901USQSAGZF3	Qualcomm Snapdragon 8 Gen 1	Android 16	USA (Carrier Locked)
Galaxy S22	SM-S901U	S901USQSAGZH3	Qualcomm Snapdragon 8 Gen 1	Android 16	USA (Carrier Locked)
Galaxy S22	SM-S901U	S901USQU2BVK1	Qualcomm Snapdragon 8 Gen 1	Android 13	USA (Carrier Locked)
Galaxy S22	SM-S901W	S901WVLS4DWL3	Qualcomm Snapdragon 8 Gen 1	Android 14	Kanada
Galaxy S22	SM-S901W	S901WVLSAGZH3	Qualcomm Snapdragon 8 Gen 1	Android 16	Kanada
Galaxy S22+	SM-S9060	S9060ZCS9GZA1	Qualcomm Snapdragon 8 Gen 1	Android 16	China (CHC)
Galaxy S22+	SM-S906E	S906EXXSEGZE3	Qualcomm Snapdragon 8 Gen 1	Android 16	Global / Lateinamerika / Asien / Afrika
Galaxy S22 Ultra	SM-S908B	S908BXXSMGZB2	Samsung Exynos 2200	Android 16	Europa / International
Galaxy S22 Ultra	SM-S908B	S908BXXSNGZD7	Samsung Exynos 2200	Android 16	Europa / International
Galaxy S22 Ultra	SM-S908E	S908EXXSEGZE3	Qualcomm Snapdragon 8 Gen 1	Android 16	Global / Lateinamerika / Asien / Afrika
Galaxy S22 Ultra	SM-S908E	S908EXXSEGZH4	Qualcomm Snapdragon 8 Gen 1	Android 16	Global / Lateinamerika / Asien / Afrika
Galaxy S22 Ultra	SM-S908N	S908NKSS9GZE5	Qualcomm Snapdragon 8 Gen 1	Android 16	Südkorea
Galaxy S22 Ultra	SM-S908W	S908WVLS8FYG7	Qualcomm Snapdragon 8 Gen 1	Android 15	Kanada (Baseline-Profil)
Galaxy S22 Ultra	SM-S908W	S908WVLSAGZE3	Qualcomm Snapdragon 8 Gen 1	Android 16	Kanada
Galaxy S22 Ultra	SCG14	SCG14KDS1EZE3	Qualcomm Snapdragon 8 Gen 1	Android 16	Japan (au KDDI)
Galaxy Tab S8 Ultra	SM-X900	X900XXU9DYE5	Qualcomm Snapdragon 8 Gen 1	Android 15	Global (Wi-Fi)

[!NOTE] Die Offsets und Struktur-Layouts sind spezifisch für jeden Target-Build. Baue immer mit dem passenden PROJECT=<TARGET>-Parameter für die exakte Firmware-Version deines Geräts.

Referenzquelle

Dieser Port basiert auf der Exploit-Implementierung, die veröffentlicht wurde in:

• NebuSec/CyberMeowfia — IonStack/CVE-2026-43499/exploit
• BuSung-dev/CVE-2026-43499-S25U
• Upstream-Revision, die als Portierungsbasis verwendet wurde: b850d3bddc74c3328d5fbcc0568d21962b55d949

Besonderer Dank an:

• F-19-F/IonStackQuest3

Die ursprüngliche Apache License 2.0 ist in LICENSE beibehalten, und die Attributionsanforderungen sind in NOTICE festgelegt.

Wesentliche Portierungsänderungen

• Exploit vom v6.6-Kernel (Galaxy S25 Ultra) auf die Android v5.10-Kernel-Architektur portiert (unterstützt alle Samsung-5.10-Geräte über Qualcomm und Exynos hinweg).
• Modulare Target-Profile unter src/targets/<TARGET> mit Kernel-Struktur-Layouts und Offset-Generierung über target_generator hinzugefügt.
• Das pselect-Race durch die exp32-Route (oder exp64, wo zutreffend) ersetzt: Futex-Choreografie, 32-Bit-Stack-Stamp und sched_setattr laufen in einer eingebetteten Child-Stage (src/exp32/).
• Tracefs-basierte automatische KASLR-Slide-Wiederherstellung für den Samsung-Kernel hinzugefügt.
• Fake-PI-Waiter/Task-Layout, CFI/FOPS-Stage und physisches Lese-/Schreib-Primitiv für v5.10 portiert.
• KDP-sicheren system_unbound_wq-User-Mode-Helper-Root-Pfad hinzugefügt und das Laufzeit-SELinux-Enforcement-Ziel auf selinux_state.enforcing aktualisiert.
• Socket-gestützten Root-Befehl-Helper hinzugefügt unter /data/local/tmp/cve-2026-43499-root.
• Stellt den globalen ashmem-FOPS-Zeiger unmittelbar nach Etablierung des beliebigen Lese-/Schreib-Primitivs wieder her.
• Behält zurückgewonnene Seiten in einem abgetrennten cve43499-hold-Prozess nach Erfolg bei, damit hängende Kernel-Referenzen nicht in unabhängige Slab-Objekte recycelt werden können.
• Führt fehlgeschlagene Race-Versuche in unabhängigen Child-Prozessen aus und wiederholt sie automatisch mit einer gerätespezifisch abgestimmten Verzögerungssequenz.

Build

Setze ANDROID_NDK_HOME auf Android NDK r27+ oder eine kompatible Toolchain und führe dann mit deinem gewählten PROJECT=<TARGET> aus der obigen Tabelle aus:

# Beispiel-Build für Galaxy S22 Ultra (SM-S908W):
make PROJECT=S908WVLS8FYG7 clean preload root-helper

# Oder ein beliebiges Target aus der Liste der unterstützten Geräte angeben:
# make PROJECT=S901BXXSNGZD7 clean preload root-helper   # Galaxy S22 (Exynos)
# make PROJECT=S906EXXSEGZE3 clean preload root-helper   # Galaxy S22+ (Snapdragon)
# make PROJECT=X900XXU9DYE5 clean preload root-helper    # Galaxy Tab S8 Ultra