Root My Galaxy SM-S9180 (dm3q) — ports de la charge utile FZG1

Ports de la charge utile CVE-2026-43499 (UAF → root temporaire via KernelSU LKM) pour Samsung Galaxy S23 Ultra SM-S9180 (dm3q).

Hong Kong (TGY) — S9180ZHS8FZG1

• Noyau : 5.15.189-android13-8-33413713-abS9180ZHS8FZG1 (correctif de sécurité du 2026-07-05)
• Méthode de root : exploit UAF CVE-2026-43499 + KernelSU LKM (root temporaire, perdu au redémarrage)
• État : fonctionnel — su -c id → uid=0(root) context=u:r:ksu:s0, ksud 3.2.5

Fichier	Description
RootMyGalaxy-S9180-FZG1.apk	APK signé (v3, CN=RMG), installable, contient la charge utile
cve-2026-43499-app.so	Charge utile corrigée, md5 ad6306e330897aa6b85b8badea1d60f7
fzg1-patch-spec.json	6 correctifs movz appliqués à la charge utile forkée FZF5
target.h	Profil cible FZG1 avec offsets corrigés
ISSUE.md	Rapport de problème/portage pour le dépôt amont (BuSung-dev/Root-My-Galaxy-Payloads)

Constat clé

Seuls 3 symboles de données ont changé entre FZF5 et FZG1 (tous décalés de +0x5c0) :

Symbole	FZF5	FZG1
kmalloc_caches	0x020641f8	0x020647b8
anon_pipe_buf_ops	0x01e7f1e0	0x01e7f7a0
ashmem_fops	0x0200d238	0x0200d7f8

Tous les autres symboles (famille ashmem, init_task, prepare_kernel_cred, etc.) sont inchangés. La migration movz ne compte que 6 correctifs :

0x0067ec: 0xd238 -> 0xd7f8   (ashmem_fops)
0x007470: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x00754c: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x00765c: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x0078ac: 0x41f8 -> 0x47b8   (kmalloc_caches)
0x007af4: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)

Chine (CHC) — S9180ZCS8FZG1

Port fonctionnel pour le firmware chinois — voir CHC-README.md pour les notes de portage complètes, y compris le piège du décalage de noms off-by-one dans les kallsyms CHC et les 10 adresses de symboles de données corrigées.

Fichier	Description
RootMyGalaxy-S9180-CHC.apk	APK signé (v3, CN=RMG), installable, contient la charge utile CHC
cve-2026-43499-chc-app.so	Charge utile CHC corrigée, md5 5292cdf88e64cf54bd1b4b44f63e45ed
chc-patch-spec.json	10 correctifs movz appliqués à la charge utile TGY FZG1 fonctionnelle
chc-target.h	Profil cible CHC avec offsets corrigés

• Noyau : 5.15.189-android13-8-3251900-abS9180ZCS8FZG1 (build 3251900)
• État : fonctionnel — l'exploit réussit dès la première tentative ; l'écran négatif chinois (三星智慧主页) et Google GMS coexistent sur la même ROM.

S9180ZCS8FZH3 (correctif 2026-08) — GhostLock toujours non corrigé

Le firmware CHC de suivi (noyau compilé le 12 août 2026, même chaîne de version) a été désassemblé et comparé à ZG1 : remove_waiter() est identique instruction par instruction (1331 insns, 0 différence structurelle) et rt_mutex_start_proxy_lock / task_blocks_on_rt_mutex sont identiques octet par octet — le correctif amont 3bfdc63936dd est absent. Seule la région rodata a été reconstruite, décalant 3 symboles de données de −0xC0. Root vérifié fonctionnel sur ZH3 avec la charge utile portée.

Fichier	Description
RootMyGalaxy-S9180-CHC-ZH3.apk	APK signé (v3, CN=RMG) pour S9180ZCS8FZH3
cve-2026-43499-chc-zh3-app.so	Charge utile ZH3, md5 d7de6cebf66975f40d7d301fe2f0d7f3
chc-zh3-patch-spec.json	6 correctifs movz (3 symboles décalés de −0xC0)

Installation et exécution

# 1. Install the APK matching your firmware
adb install -r RootMyGalaxy-S9180-FZG1.apk       # TGY  S9180ZHS8FZG1
adb install -r RootMyGalaxy-S9180-CHC.apk        # CHC  S9180ZCS8FZG1
adb install -r RootMyGalaxy-S9180-CHC-ZH3.apk    # CHC  S9180ZCS8FZH3

# 2. Launch the app and run the exploit (one attempt)
# Root is temporary: re-run the exploit after every full reboot.

Mises en garde

• Root temporaire uniquement (KernelSU LKM) : perdu au redémarrage complet, réobtenu en relançant l'exploit.
• Le soft-reboot de KernelSU préserve le root.
• N'utilisez jamais le bouton « update » de l'application pour les modules — installez toujours les zips manuellement.
• Sur CHC : le démon UMH en contexte noyau (u:r:kernel:s0) est bloqué par Samsung DEFEX pour l'exécution de pm install (SIGKILL) — utilisez su de KernelSU (u:r:ksu:s0).