RMV Exploit — build propre de CVE-2026-43499 pour iQOO Neo 11 (PD2520)

Fork de boxiaolanya2008/CVE-2026-43499-Neo11Plus, retravaillé pour RootMyVivo Neo : tout ce qui n'est pas nécessaire à notre scénario a été retiré, le noyau de l'exploit éprouvé est conservé sans modification des timings.

Ce qui a été retiré de l'upstream

Ce qui est conservé sans modification

• Noyau de l'exploit : futex PI UAF → pselect fake lock route → heap spray → pipe physrw → root (timings, threads, stratégie de reclaim — comme dans la build éprouvée)
• posture : panic_on_oops=0, panic_on_warn=0 (protection contre les panics), kptr_restrict/dmesg_restrict, empoisonnement AVC (permissive sans casser policycap)
• démon su : binaire client + démon avec socket unix, PTY interactif, forwarding vers KernelSU /system/bin/su, quand celui-ci apparaît

Installation de su (notre schéma)

L'exploit dépose /data/local/tmp/su (0755, root:root, contexte system_file) et démarre le démon avec le socket /data/local/tmp/temp_su.sock. L'application appelle su par chemin complet — /apex n'est pas touché du tout.

Compilation (sur l'appareil, Termux)

cd exploit
PATH=/data/data/com.termux/files/usr/bin:$PATH \
  make HOST_CLANG=/data/data/com.termux/files/usr/bin/clang \
       NDK_ROOT=/root/android-sdk/ndk/26.1.10909125

• Termux clang-21 (aarch64, hôte android) + sysroot NDK r26 — les wrappers NDK x86_64 ne s'exécutent pas sur l'appareil, et le sysroot est indépendant de l'architecture
• API 34 : dans le NDK r26 il n'y a pas de répertoire 35, avec 35 lld prend silencieusement la libc.a statique depuis la racine (7 Mo et bionic à l'intérieur du .so)
• Sortie : build/PD2520-BP2A.250605.031.A3/bin/preload.so (~140 Ko) et build/embed/su_daemon_aarch64_pie (su, ~11 Ko)

Exigences pour l'environnement d'exécution

• Noyau 6.6.89-android15-8-g1f71897ac249-abogki467805059-4k (offsets issus de kallsyms+BTF de ce boot.img ; changement de noyau = régénération de target.h)
• Lancement depuis le domaine shell (adb) : cd /data/local/tmp/rmv && LD_PRELOAD=$PWD/preload.so /system/bin/true

Couche de stabilisation (v2)

Ce qui a été ajouté par rapport à l'upstream

Configuration par l'environnement

• RMV_ATTEMPTS=N — nombre de tentatives complètes (par défaut 3)
• RMV_RETRY_DELAY=N — pause entre les tentatives en secondes (par défaut 8)
• NEO11_* — les réglages upstream (delay/nice/attempts) sont conservés

D'où viennent les panics (analyse)

1. Rupture de timing — CONFIG_INIT_STACK_ALL_ZERO écrase la pile : le fake waiter est détruit avant le déclenchement → rb-tree rebalance sur un nœud poubelle → oops. Atténué par quiesce + retry (l'upstream n'avait qu'une chance).
2. Écriture à une adresse poubelle — après un reclaim raté de pipe_buffer, le scan trouve une fausse cible. cred-guard coupe les plus dangereuses.
3. panic_on_oops=1 en stock — tout oops = redémarrage. posture met 0 immédiatement après le root, mais avant le root la seule protection est la prudence.