RMV Exploit — iQOO Neo 11 (PD2520) 向け CVE-2026-43499 クリーンビルド

boxiaolanya2008/CVE-2026-43499-Neo11Plus のフォークで、 RootMyVivo Neo 向けに作り直したもの: 我々のシナリオに不要なものはすべて削除し、 検証済みのエクスプロイトカーネルはタイミングを変更せずそのまま残した。

upstream から削除したもの

変更せずに残したもの

• エクスプロイトカーネル: futex PI UAF → pselect fake lock route → heap spray → pipe physrw → root (タイミング、スレッド、reclaim 戦略は検証済みビルドと同じ)
• posture: panic_on_oops=0、panic_on_warn=0 (パニック対策)、 kptr_restrict/dmesg_restrict、AVC ポイズニング (policycap を壊さない permissive)
• su デーモン: クライアントバイナリ + unix ソケット付きデーモン、PTY 対話、 KernelSU の /system/bin/su が出現した際のフォワーディング

su のインストール (我々の方式)

エクスプロイトは /data/local/tmp/su (0755、root:root、system_file コンテキスト) を配置し、ソケット /data/local/tmp/temp_su.sock でデーモンを起動する。 アプリは su をフルパスで呼び出す — /apex には一切触れない。

ビルド (デバイス上、Termux)

cd exploit
PATH=/data/data/com.termux/files/usr/bin:$PATH \
  make HOST_CLANG=/data/data/com.termux/files/usr/bin/clang \
       NDK_ROOT=/root/android-sdk/ndk/26.1.10909125

• Termux clang-21 (aarch64、android ホスト) + NDK r26 sysroot — NDK ラッパーは デバイス上の x86_64 では動作せず、sysroot はアーキテクチャ非依存
• API 34: NDK r26 には 35 のディレクトリが存在せず、35 では lld がルートから 静的な libc.a を黙って取得する (7 MB、.so 内に bionic)
• 出力: build/PD2520-BP2A.250605.031.A3/bin/preload.so (~140 KB) および build/embed/su_daemon_aarch64_pie (su、~11 KB)

実行環境の要件

• カーネル 6.6.89-android15-8-g1f71897ac249-abogki467805059-4k (オフセットは この boot.img の kallsyms+BTF 由来; カーネル変更 = target.h の再生成)
• shell ドメイン (adb) からの実行: cd /data/local/tmp/rmv && LD_PRELOAD=$PWD/preload.so /system/bin/true

安定化レイヤー (v2)

upstream に追加したもの

環境変数による設定

• RMV_ATTEMPTS=N — 完全試行回数 (デフォルト 3)
• RMV_RETRY_DELAY=N — 試行間の待機秒数 (デフォルト 8)
• NEO11_* — upstream の調整項目 (delay/nice/attempts) は保持

パニックの発生源 (分析)

1. タイミングの破綻 — CONFIG_INIT_STACK_ALL_ZERO がスタックを上書き: fake waiter が発火前に破壊される → ゴミノードによる rb-tree リバランス → oops。 quiesce + retry で緩和 (upstream は一度きりのチャンスだった)。
2. ゴミアドレスへの書き込み — reclaim 失敗後の pipe_buffer スキャンが偽のターゲットを発見する。cred-guard が最も危険なものを遮断。
3. ストックの panic_on_oops=1 — あらゆる oops = 再起動。posture は ルート直後に 0 を設定するが、ルート前の防御は慎重さのみ。