RMV Exploit — iQOO Neo 11 (PD2520) के लिए CVE-2026-43499 का शुद्ध बिल्ड

boxiaolanya2008/CVE-2026-43499-Neo11Plus का फोर्क, जिसे RootMyVivo Neo के लिए दोबारा बनाया गया है: हमारे परिदृश्य के लिए अनावश्यक सब कुछ हटा दिया गया है, एक्सप्लॉइट का सत्यापित कोर टाइमिंग में बिना किसी बदलाव के रखा गया है।

upstream से क्या हटाया गया

क्या अपरिवर्तित छोड़ा गया

• एक्सप्लॉइट का कोर: futex PI UAF → pselect fake lock route → heap spray → pipe physrw → root (टाइमिंग, थ्रेड, reclaim-रणनीति — सत्यापित बिल्ड की तरह)
• posture: panic_on_oops=0, panic_on_warn=0 (पैनिक से सुरक्षा), kptr_restrict/dmesg_restrict, AVC-ज़हरीकरण (policycap तोड़े बिना permissive)
• su-डेमन: क्लाइंट बाइनरी + unix-सॉकेट वाला डेमन, PTY-इंटरैक्टिव, KernelSU /system/bin/su पर फ़ॉरवर्डिंग, जब वह प्रकट होता है

su की स्थापना (हमारी योजना)

एक्सप्लॉइट /data/local/tmp/su (0755, root:root, system_file context) रखता है और सॉकेट /data/local/tmp/temp_su.sock के साथ डेमन शुरू करता है। ऐप su को पूर्ण पथ से कॉल करता है — /apex को बिल्कुल छुआ नहीं जाता।

बिल्ड (डिवाइस पर, Termux)

cd exploit
PATH=/data/data/com.termux/files/usr/bin:$PATH \
  make HOST_CLANG=/data/data/com.termux/files/usr/bin/clang \
       NDK_ROOT=/root/android-sdk/ndk/26.1.10909125

• Termux clang-21 (aarch64, android-होस्ट) + NDK r26 sysroot — डिवाइस पर NDK-रैपर x86_64 नहीं चलते, और sysroot आर्किटेक्चर-स्वतंत्र है
• API 34: NDK r26 में 35 निर्देशिका नहीं है, 35 पर lld चुपचाप रूट से स्थिर libc.a ले लेता है (7 MB और .so के अंदर bionic)
• आउटपुट: build/PD2520-BP2A.250605.031.A3/bin/preload.so (~140 KB) और build/embed/su_daemon_aarch64_pie (su, ~11 KB)

रनटाइम आवश्यकताएँ

• कर्नेल 6.6.89-android15-8-g1f71897ac249-abogki467805059-4k (ऑफसेट इस boot.img के kallsyms+BTF से; कर्नेल बदलना = target.h का पुनर्जनन)
• shell-डोमेन (adb) से लॉन्च: cd /data/local/tmp/rmv && LD_PRELOAD=$PWD/preload.so /system/bin/true

स्थिरीकरण परत (v2)

upstream के ऊपर क्या जोड़ा गया

पर्यावरण द्वारा कॉन्फ़िगरेशन

• RMV_ATTEMPTS=N — पूर्ण प्रयासों की संख्या (डिफ़ॉल्ट 3)
• RMV_RETRY_DELAY=N — प्रयासों के बीच सेकंड में विराम (डिफ़ॉल्ट 8)
• NEO11_* — upstream के हैंडल (delay/nice/attempts) संरक्षित हैं

पैनिक कहाँ से आते हैं (विश्लेषण)

1. टाइमिंग विफलता — CONFIG_INIT_STACK_ALL_ZERO स्टैक को मिटा देता है: fake waiter सक्रिय होने से पहले नष्ट हो जाता है → कचरा नोड पर rb-tree rebalance → oops. quiesce + retry से कम होता है (upstream के पास एक ही मौका था)।
2. कचरा पते पर लेखन — असफल reclaim pipe_buffer के बाद स्कैनिंग झूठा लक्ष्य ढूँढ लेती है। cred-guard सबसे खतरनाक को काट देता है।
3. स्टॉक में panic_on_oops=1 — कोई भी oops = रीबूट। posture रूट के तुरंत बाद 0 सेट करता है, लेकिन रूट से पहले सुरक्षा केवल सावधानी है।