Root My Galaxy SM-S9180 (dm3q) — puertos del payload FZG1

Puertos del payload de CVE-2026-43499 (UAF → root temporal con KernelSU LKM) para Samsung Galaxy S23 Ultra SM-S9180 (dm3q).

Hong Kong (TGY) — S9180ZHS8FZG1

• Kernel: 5.15.189-android13-8-33413713-abS9180ZHS8FZG1 (parche de seguridad del 2026-07-05)
• Método de root: exploit UAF de CVE-2026-43499 + KernelSU LKM (root temporal, se pierde al reiniciar)
• Estado: funcionando — su -c id → uid=0(root) context=u:r:ksu:s0, ksud 3.2.5

Archivo	Descripción
RootMyGalaxy-S9180-FZG1.apk	APK firmada (v3, CN=RMG), instalable, contiene el payload
cve-2026-43499-app.so	Payload parcheado, md5 ad6306e330897aa6b85b8badea1d60f7
fzg1-patch-spec.json	6 parches movz aplicados al payload del fork FZF5
target.h	Perfil de objetivo FZG1 con offsets corregidos
ISSUE.md	Informe de incidencia/port para el repositorio upstream (BuSung-dev/Root-My-Galaxy-Payloads)

Hallazgo clave

Solo cambiaron 3 símbolos de datos entre FZF5 y FZG1 (todos desplazados +0x5c0):

Símbolo	FZF5	FZG1
kmalloc_caches	0x020641f8	0x020647b8
anon_pipe_buf_ops	0x01e7f1e0	0x01e7f7a0
ashmem_fops	0x0200d238	0x0200d7f8

Todos los demás símbolos (familia ashmem, init_task, prepare_kernel_cred, etc.) están sin cambios. La migración movz consta solo de 6 parches:

0x0067ec: 0xd238 -> 0xd7f8   (ashmem_fops)
0x007470: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x00754c: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x00765c: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x0078ac: 0x41f8 -> 0x47b8   (kmalloc_caches)
0x007af4: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)

China (CHC) — S9180ZCS8FZG1

Port funcional para el firmware chino — consulta CHC-README.md para ver las notas completas del port, incluida la trampa del desplazamiento de nombres off-by-one en kallsyms de CHC y las 10 direcciones de símbolos de datos corregidas.

Archivo	Descripción
RootMyGalaxy-S9180-CHC.apk	APK firmada (v3, CN=RMG), instalable, contiene el payload CHC
cve-2026-43499-chc-app.so	Payload CHC parcheado, md5 5292cdf88e64cf54bd1b4b44f63e45ed
chc-patch-spec.json	10 parches movz aplicados al payload FZG1 de TGY que funciona
chc-target.h	Perfil de objetivo CHC con offsets corregidos

• Kernel: 5.15.189-android13-8-3251900-abS9180ZCS8FZG1 (build 3251900)
• Estado: funcionando — el exploit tiene éxito en el primer intento; la pantalla negativa china (三星智慧主页) y Google GMS coexisten en la misma ROM.

S9180ZCS8FZH3 (parche de 2026-08) — GhostLock sigue sin corregir

El firmware CHC posterior (kernel compilado el 12 de agosto de 2026, misma cadena de versión) se desensambló y se comparó con ZG1: remove_waiter() es idéntico a nivel de instrucciones (1331 instrucciones, 0 diferencias estructurales) y rt_mutex_start_proxy_lock / task_blocks_on_rt_mutex son idénticos byte a byte — la corrección upstream 3bfdc63936dd está ausente. Solo se reconstruyó la región rodata, desplazando 3 símbolos de datos en −0xC0. Se verificó que el root funciona en ZH3 con el payload portado.

Archivo	Descripción
RootMyGalaxy-S9180-CHC-ZH3.apk	APK firmada (v3, CN=RMG) para S9180ZCS8FZH3
cve-2026-43499-chc-zh3-app.so	Payload ZH3, md5 d7de6cebf66975f40d7d301fe2f0d7f3
chc-zh3-patch-spec.json	6 parches movz (3 símbolos desplazados −0xC0)

Instalación y ejecución

# 1. Install the APK matching your firmware
adb install -r RootMyGalaxy-S9180-FZG1.apk       # TGY  S9180ZHS8FZG1
adb install -r RootMyGalaxy-S9180-CHC.apk        # CHC  S9180ZCS8FZG1
adb install -r RootMyGalaxy-S9180-CHC-ZH3.apk    # CHC  S9180ZCS8FZH3

# 2. Launch the app and run the exploit (one attempt)
# Root is temporary: re-run the exploit after every full reboot.

Advertencias

• Solo root temporal (KernelSU LKM): se pierde al reiniciar por completo, se vuelve a obtener ejecutando de nuevo el exploit.
• El soft-reboot de KernelSU conserva el root.
• Nunca uses el botón "update" de la app para módulos — instala siempre los zips manualmente.
• En CHC: Samsung DEFEX bloquea que el daemon UMH en contexto de kernel (u:r:kernel:s0) ejecute pm install (SIGKILL) — usa su de KernelSU (u:r:ksu:s0).