smt878u-ionstack-poc

純粋なC言語、ホスト支援型の再ルート概念実証で、Samsung Galaxy Tab S7 （SM-T878U / gts7l） の CVE-2026-43499（IonStack / GhostLock）に対するものです。

ランタイムチェーンはネイティブC/ELFコンポーネントのみを使用します。Androidターゲット上でPython、Java、DEX、app_process、JVMは必要ありません。ADBはデプロイと検証に使用されます。

対応プロファイル

このPoCは、すべてのプロファイルチェックが一致しない限り、意図的にフェイルクローズします。

device:      gts7l
Android:     13 / SDK 33
fingerprint: samsung/gts7lsqwnc/gts7l:13/TP1A.220624.014/T878USQS8DXE1:user/release-keys
kernel:      4.19.113
build:       T878USQS8DXE1

サポート外または失敗した実行は、デバイスをパニックまたは再起動させる可能性があります。復旧手段を用意しておいてください。

このリポジトリは、上記のファームウェアプロファイルに限定されています。汎用のルート化ツールではなく、オフセットや前提条件は、独立した検証なしに他のデバイスで再利用してはいけません。

セキュリティ研究専用

• 自分が所有しているか、明示的にテストを許可されたハードウェアでのみ使用してください。
• 成功したエクスプロイトは、デバイスをパニック、再起動、または文鎮化させる可能性があります。
• このPoCによって生成されたrootは一時的であり、AVB、ブートイメージ、システムパーティションを変更しません。再起動すると削除されます。

クイックスタート

1. macOSまたはLinuxホストでビルドします（ビルドを参照）。
2. 公式のAndroid SDK Platform Toolsをインストールし、USBデバッグを有効にして対応デバイスを接続します。
3. ADBがデバイスを認識していることを確認します：

adb devices -l

次に：

./build/smt878u-ionstack-reroot -s SERIAL --preflight-only
./build/smt878u-ionstack-reroot -s SERIAL --validate-only
./build/smt878u-ionstack-reroot -s SERIAL

ホストが成功を報告した後、rootを確認しシェルを開きます：

adb -s SERIAL shell /data/local/tmp/su -c id
adb -s SERIAL shell /data/local/tmp/su

ADBデバイスが1つだけ接続されている場合、-s SERIALは省略可能です。

ビルド

必要条件：

• clang、make、adbが利用可能なmacOSまたはLinuxホスト
• Android NDK（API 35がデフォルトのビルドAPI）
• 上記のプロファイルに一致するarm64/compat32ターゲット

make -j4

必要に応じて検出を上書き：

make NDK_ROOT=/path/to/android-ndk API=35 -j4

すべての成果物はbuild/に出力されます。

ホストプラットフォーム

ホストコントローラはmacOS arm64、Linux x86_64、Windows x86_64をサポートしています。Androidデバイスの成果物はホストプラットフォーム間で同一です。

# native host controller only
make host

# Windows x86_64 controller with LLVM-MinGW
make host-windows \
  WINDOWS_CC=/path/to/llvm-mingw/bin/x86_64-w64-mingw32-clang

実行

非エクスプロイトのプロファイルチェックから始め、次に検証、最後にフルチェーンを実行します：

./build/smt878u-ionstack-reroot -s SERIAL --preflight-only
./build/smt878u-ionstack-reroot -s SERIAL --validate-only
./build/smt878u-ionstack-reroot -s SERIAL

ログはデフォルトでresults/YYYY-MM-DD/に書き込まれます。

再起動/クラッシュアーティファクトの収集

./tools/collect_reboot_artifacts.sh SERIAL

成功後の su の使用

サポートされているユーザー向けクライアントは/data/local/tmp/suにインストールされます。これは/data/local/tmp/temp_su.sockを介して一時的なルートデーモンに接続します。/system/binに移動せず、再起動後も存続することを前提にしないでください。

構成

由来

このツリーは、公開されているxpad2-ionstack-pocのパッケージレイアウトとIonStack CVE-2026-43499のソーススナップショットから始まり、SM-T878U（gts7l / T878USQS8DXE1）に移植されました。

• 統合プロジェクト：GPL-3.0-or-later（LICENSE）
• src/exploit/およびtools/su_daemon.cにあるIonStack由来のファイル：Apache-2.0の由来を保持（NOTICE、licenses/Apache-2.0.txt）

セキュリティ報告

公開されたIssueには、デバイス識別子、プライベートファームウェアイメージ、クラッシュダンプ、その他の機密データを含めないでください。SECURITY.mdを参照してください。

免責事項

現状のまま提供され、いかなる種類の保証もありません。著者および貢献者は、この資料の使用に起因する誤用、損害、法的結果について一切の責任を負いません。