IonStack_S21 — port de l'exploit CVE-2026-43499 pour Galaxy S21 (SM-G991B)

Charge utile IonStack spécifique à l'appareil pour le Samsung Galaxy S21 (o1s) sous firmware G991BXXSJHZC2. Fournit un root volatil via un exploit LD_PRELOAD + un démon root-helper call_usermodehelper (même forme que IonStack-S22U / IONSTACK-S22). Statut : recherche — bloqué, voir RESEARCH.md.

Basé sur l'implémentation IonStack de CVE-2026-43499 publiée dans NebuSec/CyberMeowfia (amont b850d3bddc74c3328d5fbcc0568d21962b55d949) et BuSung-dev/CVE-2026-43499-S25U, avec remerciements à F-19-F/IonStackQuest3. Licence Apache 2.0 amont conservée dans LICENSE (voir NOTICE).

Arborescence

Makefile                  build (NDK r27+, ANDROID_NDK_HOME)
src/                      source de l'exploit (profil o1s uniquement)
src/targets/o1s-G991BXXSJHZC2/  target.h + p0_fingerprint.h
src/kernelsnitch/         fuite de mm_struct (collision de hash futex)
tools/                    helper de fingerprint p0
RESEARCH.md               notes de recherche (géométrie, verdicts)

Compilation

export ANDROID_NDK_HOME=/path/to/android-ndk
make clean all
# SLIDE_WRITER_SEL=1|2|3 sélectionne les writers mcast/sigreturn(défaut)/xattr.
# Non défini sélectionne le writer pselect expérimental (voir RESEARCH.md).

Sorties (build/o1s-G991BXXSJHZC2/) : cve-2026-43499 (charge utile LD_PRELOAD), cve-2026-43499-app.so (charge utile app), cve-2026-43499-root (root helper).

Déploiement et exécution

adb push build/o1s-G991BXXSJHZC2/cve-2026-43499 /data/local/tmp/cve-2026-43499
adb push build/o1s-G991BXXSJHZC2/cve-2026-43499-root /data/local/tmp/cve-2026-43499-root
adb shell chmod 755 /data/local/tmp/cve-2026-43499 /data/local/tmp/cve-2026-43499-root
adb shell "LD_PRELOAD=/data/local/tmp/cve-2026-43499 sh"
# en cas de succès :
/adb shell "/data/local/tmp/cve-2026-43499-root -c 'id; getenforce'"

Le root (s'il est obtenu) ne subsiste que jusqu'au redémarrage ; rien n'est flashé.

Statut / avertissements

• Bloqué, mis en pause avec preuves — voir RESEARCH.md pour le compte rendu complet. L'étape de race provoque un panic du noyau (sched_setattr → rt_mutex_adjust_prio_chain → _raw_spin_trylock faute NULL) sans jamais poser le stamp : le champ lock de 8 octets se trouve dans un copy-gap qu'aucun appel système bloquant étudié ne couvre (carte de profondeur par appel système vérifiée par désassemblage dans RESEARCH.md). Le gate de récupération par pipe échoue systématiquement (0/0).
• Sensible au timing ; attendez-vous à des panics du noyau. Redémarrez pour des slabs propres, gardez l'appareil inactif pendant l'exécution. /data/local/tmp est effacé au redémarrage — repoussez les binaires après chaque démarrage.
• À utiliser uniquement sur des appareils que vous possédez ou que vous êtes explicitement autorisé à tester.