Galaxy S24 Ultra (SM-S928U1) के लिए CVE-2026-43499 PoC

अमेरिकी Samsung Galaxy S24 Ultra के लिए CVE-2026-43499 का डिवाइस-विशिष्ट रिसर्च पोर्ट, फर्मवेयर S928USQS6DZF2 (ऐप-डोमेन / प्रोडक्शन पाथ) पर आधारित।

यह रिपॉज़िटरी CVE-2026-43499-S25U का S24U समकक्ष है। यह वर्तमान अपूर्ण प्रगति को दर्शाता है: कंट्रोल प्लेन और रेसिड्युअल स्टैक UAF आर्मिंग मौजूद हैं; एक साफ गेट राइट (hits>0) अभी तक प्राप्त नहीं हुआ है।

समर्थित टारगेट

Model:       SM-S928U1
Codename:    e3q
Android:     14 / BP4A.251205.006 (display family)
Build / AP:  S928U1UES6DZF2 / S928USQS6DZF2
Fingerprint: samsung/e3qsqw/e3q:14/UP1A.231005.007/S928USQS6DZF2:user/release-keys
Kernel:      6.1.145-android14-11-33419968-abS928USQS6DZF2
Architecture: arm64 / 4K pages

ऑफसेट और लेआउट केवल इसी फर्मवेयर पर लागू होते हैं। बिना सबूत के बिल्डों के बीच कॉन्स्टेंट स्थानांतरित न करें।

स्थिति (ईमानदार)

ब्लॉकर: वॉक-सेफ रेसिड्युअल ज्योमेट्री। असली RB_EMPTY प्लांट के लिए रेसिड्युअल कर्नेल VA (APP_STAMP_RESIDUAL_ADDR / APP_STAMP_OVERLAY_BASE) आवश्यक है। फोर्ज्ड ट्री और KEEP ओवरले (जो FD_ZERO के अंतर्गत ज़ीरो हो जाते हैं) फोर्स्ड वॉक पर पैनिक करते हैं। देखें docs/PROGRESS.md।

संदर्भ

• IonStack / CVE-2026-43499 वंशावली (NebuSec CyberMeowfia और संबंधित पोर्ट)
• S25U स्टैंडअलोन PoC: BuSung-dev/CVE-2026-43499-S25U
• ऐप-डोमेन वायरिंग Root-My-Galaxy-Payloads रिसर्च ब्रांच agent/s928u-bp4a-251205-006 (E3Q DZF2) से व्युत्पन्न

Apache License 2.0: LICENSE।

इस पोर्ट में क्या है

• टारगेट प्रोफ़ाइल e3q-S928USQS6DZF2 (DZF2 के लिए फिजिकल P0 ऑरेकल, बैंक लेआउट, पाइप ज्योमेट्री)।
• ऐप-डोमेन पेलोड (cve-2026-43499-app.so) जिसमें slide_app.c शामिल है: रेसिड्युअल स्टैम्प प्लांट, soft_match, REPLANT वॉक, walk_nice, NO_PLANT, EMPTY प्लांट हुक, बैंक पीक, ड्रेन वायरिंग।
• O_APPEND लॉग ओपन के साथ रूट हेल्पर (पैरेंट/चाइल्ड लॉग क्लॉबर से बचाता है)।
• वैकल्पिक स्टैंडअलोन प्रीलोड बाइनरी (tracefs पाथ; प्राथमिक S24U ऐप रिसर्च पाथ नहीं)।

बिल्ड

export ANDROID_NDK_HOME=/path/to/ndk   # e.g. r28 / API 34 clang
make -j$(nproc)
# or:
make app API=34

आउटपुट:

build/e3q-S928USQS6DZF2/cve-2026-43499-app.so
build/e3q-S928USQS6DZF2/cve-2026-43499-root
build/e3q-S928USQS6DZF2/cve-2026-43499          # optional standalone

डिप्लॉय (ऐप-डोमेन रिसर्च)

विंडोज़ ADB (या होस्ट adb) सीरियल R5CXB20H9FD (उदाहरण रिसर्च यूनिट) के विरुद्ध:

# Prefer the rebuilt helper (O_APPEND logs), not only the APK copy.
adb push build/e3q-S928USQS6DZF2/cve-2026-43499-app.so /data/local/tmp/
adb push build/e3q-S928USQS6DZF2/cve-2026-43499-root /data/local/tmp/

adb shell "run-as dev.busung.s25uroot sh -c '
  mkdir -p files/payload-overrides/e3q-S928USQS6DZF2
  cp /data/local/tmp/cve-2026-43499-app.so \
     files/payload-overrides/e3q-S928USQS6DZF2/
  cp /data/local/tmp/cve-2026-43499-root files/
  chmod 700 files/cve-2026-43499-root \
    files/payload-overrides/e3q-S928USQS6DZF2/cve-2026-43499-app.so
'"

सुरक्षित बेसलाइन (बच जाता है; hits=0)

export APP_STACK_UAF_STAMP=1
export APP_STAMP_PLANT=soft
export APP_STAMP_SOFT_MATCH=1
export APP_STAMP_FIXED_SHIFT=2
export APP_BANK_VALID_ROOT=1
export APP_STAMP_STATUS_PATH=/data/user/0/dev.busung.s25uroot/files/stamp_status_last.txt
# run via helper --run-payload ... (see docs/PROGRESS.md)

फोर्स्ड वॉक (केवल रिसर्च; वर्तमान में KP)

# After soft_match plant: change residual prio then force task nice change.
export APP_STAMP_REPLANT_WALK=1
export APP_STAMP_WALK_PRIO=100
export APP_STAMP_WALK_NICE=18   # must differ from first nice (default 19)
# Prefer EMPTY bank for some paths; still KP without residual kVA EMPTY plant

प्लांट शिफ्ट 0–4 को दोबारा स्कैन न करें; बेस 2 स्थापित है।

दस्तावेज़ीकरण

सुरक्षा और कानूनी

केवल उन्हीं डिवाइसों पर उपयोग करें जिनके आप मालिक हैं या जिन्हें परीक्षण के लिए स्पष्ट रूप से अधिकृत किया गया है। यह ट्री एक लॉक्ड प्रोडक्शन फोन पाथ के लिए रिसर्च सॉफ्टवेयर है; यह कोई तैयार रूट या KernelSU इंस्टॉलर नहीं है।

KernelSU

KernelSU एकीकरण तब तक दायरे से बाहर है जब तक एक विश्वसनीय पाइप/फिजिकल राइट और रूट पाथ मौजूद नहीं होते। इस रेपो को KSU-रेडी न मानें।