CVE-2026-43499-ZFOLD4

Porting di ricerca specifico per dispositivo di CVE-2026-43499 (IonStack PI write-what-where) per il Galaxy Z Fold4 canadese SM-F936W sul firmware F936WVLU1AVGA.

Questo repository è la controparte Fold4 di CVE-2026-43499-S24U e CVE-2026-43499-A36. Documenta lo stato attuale e incompleto: il reclaim, l'armamento UAF dello stack leftover e la copertura di leftover.lock sono implementati; l'inserimento [7] di lock.waiters non atterra mai sulla pagina recuperata. CFI / physrw / root non sono raggiunti.

Gli offset e i layout si applicano solo a questo firmware. Non copiare le costanti di S24U / S25 / A36 / S9180 / GRKU su questo target. In particolare SKB_DATA_DELTA qui è -0xe80 (su S9180 è -0x1000).

Utilizzare solo su dispositivi di propria proprietà o per i quali si dispone di esplicita autorizzazione ai test.

Target supportato

Model:        SM-F936W
Codename:     q4q
Board:        taro (Snapdragon 8 Gen 1)
Android:      12 / One UI 4.1.1 (SDK 32)
AP / PDA:     F936WVLU1AVGA
Fingerprint:  samsung/q4qcsx/q4q:12/SP2A.220305.013/F936WVLU1AVGA:user/release-keys
Kernel:       5.10.81-android12-9-24709469-abF936WVLU1AVGA
Architecture: arm64 / 4K pages
Serial used:  RFCT70A6APD (authorized owner device)

SHA-256 della Image: 9ec34bbfa6a732001ead04a3e6aea8a6ad2283e3280b8b7d024c47056003fe3d. SHA-256 della vmlinux.elf recuperata: a5a5fa849f3e47f185d8cf4d5796b2ada10d251153a5fcea51ba138e0c565a0c. La Image grezza e vmlinux.elf non sono incluse (vedere analysis/boot-unpack/SHA256SUMS).

Stato (onesto)

Ultimo artefatto live: analysis/artifacts/cve-2026-43499-v104-resscan (SHA-256 dd7968e71f2c151be46b7c386cd1380ace191854d36c08c11283266b82c8656b), boot f5264a43-7544-460e-a70d-becf90960383, warranty_bit=0.

Vedere docs/PROGRESS.md per la matrice delle milestone.

Contenuto di questo repository

• Profilo del target src/targets/q4q-F936WVLU1AVGA/ (offset basati sulla Image).
• Payload diagnostico (src/): plant leftover so1000, misura stamp-SP, peek residuo ovunque, DIAG_LOCK_MINIMAL.
• Analisi Fold4: testo boot-unpack, disassembly, log selezionati v93/v96/v101/v103/v104, binari diagnostici scelti.
• Target dei payload lineage / note di porting da Root-My-Galaxy-Payloads feature/grku-race-parity @ 749633c (non costanti Fold4).

Non contiene tarball del firmware, la Image grezza del kernel, vmlinux.elf, il sorgente dell'app Android o un modulo KernelSU per Fold4.

Build

export ANDROID_NDK_HOME=/path/to/android-ndk   # NDK r29 or compatible
make TARGET=q4q-F936WVLU1AVGA API=32

Output:

build/q4q-F936WVLU1AVGA/cve-2026-43499
build/q4q-F936WVLU1AVGA/cve-2026-43499-app.so
build/q4q-F936WVLU1AVGA/cve-2026-43499-root

Trattare i binari come diagnostici. Non considerare un setattr con success=1 come una scrittura [7] o [11] completata.

Parametri bloccati

Mantenere questi valori a meno che un nuovo dato sulla Image non imponga una modifica:

DIAG_RECLAIM_PREDRAIN_SENDS=768
DIAG_RECLAIM_SENDS=1
DIAG_WRITE_SHAPE=3
DIAG_SELF_WRITE_OFF=0x6000
DIAG_PERF_RESIDUAL=1
DIAG_RECLAIM_PEEK=1

Note

• Aumentare la profondità dello spray, il defer-all32 o ripristinare ASHMEM_MISC_FOPS prima di un HIT di self-write con skb-peek (self_src == fake_fops) non è utile su questo firmware.
• Impostare leftover.task su init_task o sulla fake_task della pagina sopprime [7]. Anche azzerare leftover.task, empty-leftmost o prio=0 fallisce.
• Un setattr remoto sullo stesso core riavvia il dispositivo.
• Non copiare le costanti numeriche di un altro dispositivo.

Documentazione

Riferimenti

• Eredità IonStack / CVE-2026-43499 (NebuSec CyberMeowfia e porting correlati)
• Framework payload: BuSung-dev/Root-My-Galaxy-Payloads
• A36 standalone: fusiondrive/CVE-2026-43499-A36
• Ricerca su S24U: fusiondrive/CVE-2026-43499-S24U

Licenza Apache 2.0: LICENSE.