RMV Exploit — build pulita di CVE-2026-43499 per iQOO Neo 11 (PD2520)

Fork di boxiaolanya2008/CVE-2026-43499-Neo11Plus, rielaborato per RootMyVivo Neo: rimosso tutto ciò che non serve al nostro scenario, mantenuto il kernel dell'exploit verificato senza modifiche ai timing.

Cosa è stato rimosso rispetto all'upstream

Cosa è rimasto invariato

• Kernel dell'exploit: futex PI UAF → pselect fake lock route → heap spray → pipe physrw → root (timing, thread, strategia di reclaim — come nella build verificata)
• posture: panic_on_oops=0, panic_on_warn=0 (protezione dalle panic), kptr_restrict/dmesg_restrict, avvelenamento AVC (permissive senza rompere policycap)
• su-daemon: binario client + daemon con unix socket, PTY interattivo, forwarding verso KernelSU /system/bin/su, quando compare

Installazione di su (nostro schema)

L'exploit deposita /data/local/tmp/su (0755, root:root, contesto system_file) e avvia il daemon con socket /data/local/tmp/temp_su.sock. L'applicazione invoca su con percorso completo — /apex non viene toccato affatto.

Build (sul dispositivo, Termux)

cd exploit
PATH=/data/data/com.termux/files/usr/bin:$PATH \
  make HOST_CLANG=/data/data/com.termux/files/usr/bin/clang \
       NDK_ROOT=/root/android-sdk/ndk/26.1.10909125

• Termux clang-21 (aarch64, host android) + sysroot NDK r26 — i wrapper NDK x86_64 sul dispositivo non si avviano, e il sysroot è architetturalmente indipendente
• API 34: in NDK r26 non esiste la directory 35, con 35 lld prende silenziosamente libc.a statica dalla radice (7 MB e bionic dentro il .so)
• Output: build/PD2520-BP2A.250605.031.A3/bin/preload.so (~140 KB) e build/embed/su_daemon_aarch64_pie (su, ~11 KB)

Requisiti dell'ambiente di esecuzione

• Kernel 6.6.89-android15-8-g1f71897ac249-abogki467805059-4k (offset da kallsyms+BTF di questo boot.img; cambio kernel = rigenerazione di target.h)
• Avvio dal dominio shell (adb): cd /data/local/tmp/rmv && LD_PRELOAD=$PWD/preload.so /system/bin/true

Strato di stabilizzazione (v2)

Cosa è stato aggiunto sopra l'upstream

Configurazione tramite ambiente

• RMV_ATTEMPTS=N — numero di tentativi completi (predefinito 3)
• RMV_RETRY_DELAY=N — pausa tra i tentativi in secondi (predefinito 8)
• NEO11_* — manopole upstream (delay/nice/attempts) conservate

Da dove nascono le panic (analisi)

1. Sfondamento dei timing — CONFIG_INIT_STACK_ALL_ZERO azzera lo stack: il fake waiter viene distrutto prima dell'attivazione → rb-tree rebalance su un nodo spazzatura → oops. Mitigato da quiesce + retry (l'upstream aveva una sola possibilità).
2. Scrittura su indirizzo spazzatura — dopo un reclaim fallito di pipe_buffer la scansione trova un falso target. cred-guard taglia i più pericolosi.
3. panic_on_oops=1 nello stock — qualsiasi oops = riavvio. posture imposta 0 subito dopo il root, ma prima del root la protezione è solo l'accuratezza.