smt878u-ionstack-poc

Reiner C-basierter, hostgestützter Re-Root-Proof-of-Concept für Samsung Galaxy Tab S7 (SM-T878U / gts7l) gegen CVE-2026-43499 (IonStack / GhostLock).

Die Laufzeitkette verwendet ausschließlich native C-/ELF-Komponenten. Sie benötigt auf dem Android-Zielgerät weder Python, Java, DEX, app_process noch eine JVM. ADB wird für die Bereitstellung und Verifizierung verwendet.

Unterstütztes Profil

Dieser POC versagt absichtlich (Fail-Closed), es sei denn, alle Profilprüfungen stimmen überein:

device:      gts7l
Android:     13 / SDK 33
fingerprint: samsung/gts7lsqwnc/gts7l:13/TP1A.220624.014/T878USQS8DXE1:user/release-keys
kernel:      4.19.113
build:       T878USQS8DXE1

Nicht unterstützte oder fehlgeschlagene Ausführungen können einen Kernel-Panic auslösen oder das Gerät neu starten. Halte einen Wiederherstellungspfad bereit.

Dieses Repository ist eng auf das obige Firmware-Profil zugeschnitten. Es ist kein Allzweck-Rooting- Werkzeug, und Offsets oder Annahmen dürfen nicht ohne unabhängige Validierung auf anderen Geräten wiederverwendet werden.

Nur für Sicherheitsforschung

• Nur auf Hardware verwenden, die dir gehört oder für die du ausdrücklich zum Testen autorisiert bist.
• Eine erfolgreiche Ausnutzung kann Kernel-Panics auslösen, Geräte neu starten oder unbrauchbar machen (Brick).
• Das von diesem POC erzeugte Root ist temporär und verändert weder AVB, Boot-Images noch Systempartitionen; ein Neustart entfernt es.

Schnellstart

1. Auf einem macOS- oder Linux-Host bauen (siehe Build).
2. Die offiziellen Android SDK Platform Tools installieren und das unterstützte Gerät mit aktiviertem USB-Debugging verbinden.
3. Bestätigen, dass ADB das Gerät erkennt:

adb devices -l

Anschließend:

./build/smt878u-ionstack-reroot -s SERIAL --preflight-only
./build/smt878u-ionstack-reroot -s SERIAL --validate-only
./build/smt878u-ionstack-reroot -s SERIAL

Nachdem der Host den Erfolg gemeldet hat, Root verifizieren und eine Shell öffnen:

adb -s SERIAL shell /data/local/tmp/su -c id
adb -s SERIAL shell /data/local/tmp/su

-s SERIAL ist optional, wenn genau ein ADB-Gerät verbunden ist.

Build

Voraussetzungen:

• macOS- oder Linux-Host mit clang, make und adb
• Android-NDK (API 35 ist die Standard-Build-API)
• ein arm64-/compat32-Ziel, das dem obigen Profil entspricht

make -j4

Die automatische Erkennung bei Bedarf überschreiben:

make NDK_ROOT=/path/to/android-ndk API=35 -j4

Alle Artefakte werden unter build/ abgelegt.

Host-Plattformen

Der Host-Controller unterstützt macOS arm64, Linux x86_64 und Windows x86_64. Die Artefakte für das Android-Gerät sind auf allen Host-Plattformen identisch.

# native host controller only
make host

# Windows x86_64 controller with LLVM-MinGW
make host-windows \
  WINDOWS_CC=/path/to/llvm-mingw/bin/x86_64-w64-mingw32-clang

Ausführen

Zuerst die Nicht-Exploit-Profilprüfung, dann die Validierung, dann die vollständige Kette ausführen:

./build/smt878u-ionstack-reroot -s SERIAL --preflight-only
./build/smt878u-ionstack-reroot -s SERIAL --validate-only
./build/smt878u-ionstack-reroot -s SERIAL

Logs werden standardmäßig unter results/YYYY-MM-DD/ geschrieben.

Reboot-/Crash-Artefakte sammeln

./tools/collect_reboot_artifacts.sh SERIAL

Verwenden von su nach einer erfolgreichen Ausführung

Der unterstützte, benutzerseitige Client wird unter /data/local/tmp/su installiert. Er verbindet sich über /data/local/tmp/temp_su.sock mit dem temporären Root-Daemon. Verschiebe ihn nicht nach /system/bin und verlasse dich nicht darauf, dass er einen Neustart übersteht.

Aufbau

Herkunft

Dieser Quellbaum basiert auf dem öffentlichen Paketierungs-Layout von xpad2-ionstack-poc und einem IonStack-Quellcode-Snapshot für CVE-2026-43499 und wurde anschließend auf SM-T878U (gts7l / T878USQS8DXE1) portiert.

• Gesamtprojekt: GPL-3.0-or-later (LICENSE)
• Von IonStack abgeleitete Dateien unter src/exploit/ und tools/su_daemon.c: Apache-2.0-Herkunft bleibt erhalten (NOTICE, licenses/Apache-2.0.txt)

Sicherheitsmeldungen

Bitte gib in einem öffentlichen Issue keine Gerätekennungen, privaten Firmware-Images, Crash-Dumps oder andere sensible Daten an. Siehe SECURITY.md.

Haftungsausschluss

Bereitgestellt wie besehen (as-is), ohne jegliche Garantie. Autoren und Mitwirkende sind nicht verantwortlich für Missbrauch, Schäden oder rechtliche Konsequenzen, die aus der Verwendung dieses Materials entstehen.