IonStack_S21 — port dell'exploit CVE-2026-43499 per Galaxy S21 (SM-G991B)

Payload IonStack specifico per il dispositivo Samsung Galaxy S21 (o1s) con firmware G991BXXSJHZC2. Fornisce root volatile tramite exploit LD_PRELOAD + daemon root-helper call_usermodehelper (stessa struttura di IonStack-S22U / IONSTACK-S22). Stato: ricerca — bloccato, vedi RESEARCH.md.

Basato sull'implementazione IonStack di CVE-2026-43499 pubblicata in NebuSec/CyberMeowfia (upstream b850d3bddc74c3328d5fbcc0568d21962b55d949) e BuSung-dev/CVE-2026-43499-S25U, con ringraziamenti a F-19-F/IonStackQuest3. Licenza Apache 2.0 upstream mantenuta in LICENSE (vedi NOTICE).

Struttura

Makefile                  build (NDK r27+, ANDROID_NDK_HOME)
src/                      sorgente exploit (solo profilo o1s)
src/targets/o1s-G991BXXSJHZC2/  target.h + p0_fingerprint.h
src/kernelsnitch/         leak di mm_struct (collisione hash futex)
tools/                    helper per fingerprint p0
RESEARCH.md               note di ricerca (geometria, verdetti)

Build

export ANDROID_NDK_HOME=/path/to/android-ndk
make clean all
# SLIDE_WRITER_SEL=1|2|3 seleziona i writer mcast/sigreturn(default)/xattr.
# Non impostato seleziona il writer pselect sperimentale (vedi RESEARCH.md).

Output (build/o1s-G991BXXSJHZC2/): cve-2026-43499 (payload LD_PRELOAD), cve-2026-43499-app.so (payload app), cve-2026-43499-root (root helper).

Deploy ed esecuzione

adb push build/o1s-G991BXXSJHZC2/cve-2026-43499 /data/local/tmp/cve-2026-43499
adb push build/o1s-G991BXXSJHZC2/cve-2026-43499-root /data/local/tmp/cve-2026-43499-root
adb shell chmod 755 /data/local/tmp/cve-2026-43499 /data/local/tmp/cve-2026-43499-root
adb shell "LD_PRELOAD=/data/local/tmp/cve-2026-43499 sh"
# in caso di successo:
/adb shell "/data/local/tmp/cve-2026-43499-root -c 'id; getenforce'"

La root (se ottenuta) persiste solo fino al riavvio; nulla viene flashato.

Stato / avvertenze

• Bloccato, parcheggiato con prove — vedi RESEARCH.md per il resoconto completo. La fase di race manda in panic il kernel (sched_setattr → rt_mutex_adjust_prio_chain → _raw_spin_trylock fault NULL) senza mai riuscire a piazzare lo stamp: il campo lock da 8 byte si trova in un copy-gap che nessuna syscall bloccante esaminata copre (mappa di profondità per-syscall verificata via disasm in RESEARCH.md). Il gate di pipe-reclaim manca sistematicamente (0/0).
• Sensibile al timing; aspettarsi kernel panic. Riavviare per slab puliti, mantenere il dispositivo inattivo durante l'esecuzione. /data/local/tmp viene cancellato al riavvio — ripushare i binari dopo ogni boot.
• Usare solo su dispositivi di propria proprietà o per cui si è esplicitamente autorizzati a eseguire test.