RMV Exploit — sauberer Build von CVE-2026-43499 für iQOO Neo 11 (PD2520)

Ein Fork von boxiaolanya2008/CVE-2026-43499-Neo11Plus, überarbeitet für RootMyVivo Neo: alles entfernt, was für unser Szenario nicht gebraucht wird, der bewährte Exploit-Kernel bleibt ohne Timing-Änderungen unverändert.

Was gegenüber upstream entfernt wurde

Was unverändert geblieben ist

• Exploit-Kernel: futex PI UAF → pselect fake lock route → heap spray → pipe physrw → root (Timings, Threads, Reclaim-Strategie — wie im bewährten Build)
• posture: panic_on_oops=0, panic_on_warn=0 (Schutz vor Panics), kptr_restrict/dmesg_restrict, AVC-Vergiftung (permissive ohne Bruch von policycap)
• su-Daemon: Client-Binary + Daemon mit Unix-Socket, PTY-Interaktiv, Weiterleitung an KernelSU /system/bin/su, sobald dieser erscheint

Installation von su (unser Schema)

Der Exploit legt /data/local/tmp/su ab (0755, root:root, system_file context) und startet den Daemon mit Socket /data/local/tmp/temp_su.sock. Die App ruft su über den vollständigen Pfad auf — /apex wird überhaupt nicht berührt.

Build (auf dem Gerät, Termux)

cd exploit
PATH=/data/data/com.termux/files/usr/bin:$PATH \
  make HOST_CLANG=/data/data/com.termux/files/usr/bin/clang \
       NDK_ROOT=/root/android-sdk/ndk/26.1.10909125

• Termux clang-21 (aarch64, android-Host) + NDK r26 sysroot — die NDK-Wrapper für x86_64 lassen sich auf dem Gerät nicht starten, und das sysroot ist architekturunabhängig
• API 34: im NDK r26 gibt es kein Verzeichnis 35, bei 35 nimmt lld stillschweigend die statische libc.a aus dem Wurzelverzeichnis (7 MB und bionic innerhalb der .so)
• Ausgabe: build/PD2520-BP2A.250605.031.A3/bin/preload.so (~140 KB) und build/embed/su_daemon_aarch64_pie (su, ~11 KB)

Anforderungen an die Laufzeitumgebung

• Kernel 6.6.89-android15-8-g1f71897ac249-abogki467805059-4k (Offsets aus kallsyms+BTF dieses boot.img; Kernel-Wechsel = Neugenerierung von target.h)
• Start aus der Shell-Domain (adb): cd /data/local/tmp/rmv && LD_PRELOAD=$PWD/preload.so /system/bin/true

Stabilisierungsschicht (v2)

Was zusätzlich zu upstream hinzugefügt wurde

Konfiguration über die Umgebung

• RMV_ATTEMPTS=N — Anzahl der vollständigen Versuche (Standard 3)
• RMV_RETRY_DELAY=N — Pause zwischen den Versuchen in Sekunden (Standard 8)
• NEO11_* — upstream-Regler (delay/nice/attempts) bleiben erhalten

Woher die Panics kommen (Analyse)

1. Timing-Abriss — CONFIG_INIT_STACK_ALL_ZERO überschreibt den Stack: der fake waiter wird vor dem Auslösen zerstört → rb-tree rebalance über einen Müll- Knoten → oops. Wird durch quiesce + retry abgemildert (bei upstream gab es nur eine Chance).
2. Schreiben auf eine Müll-Adresse — nach einem fehlgeschlagenen Reclaim des pipe_buffer findet das Scannen ein falsches Ziel. cred-guard schneidet die gefährlichsten ab.
3. panic_on_oops=1 im Stock — jeder oops = Neustart. posture setzt 0 direkt nach dem Root, aber vor dem Root schützt nur Sorgfalt.