RMV Exploit — iQOO Neo 11(PD2520)용 CVE-2026-43499 클린 빌드

boxiaolanya2008/CVE-2026-43499-Neo11Plus의 포크로, RootMyVivo Neo에 맞게 재작업했습니다: 우리 시나리오에 필요 없는 것은 모두 제거하고, 검증된 익스플로잇 코어는 타이밍 변경 없이 그대로 유지했습니다.

upstream에서 제거된 것

변경 없이 유지된 것

• 익스플로잇 코어: futex PI UAF → pselect fake lock route → heap spray → pipe physrw → root (타이밍, 스레드, reclaim 전략 — 검증된 빌드와 동일)
• posture: panic_on_oops=0, panic_on_warn=0 (패닉 방지), kptr_restrict/dmesg_restrict, AVC 오염 (policycap을 깨지 않는 permissive)
• su 데몬: 클라이언트 바이너리 + unix 소켓 데몬, PTY 인터랙티브, KernelSU /system/bin/su가 나타나면 해당 경로로 포워딩

su 설치 (우리 방식)

익스플로잇은 /data/local/tmp/su (0755, root:root, system_file context)를 배치하고 소켓 /data/local/tmp/temp_su.sock으로 데몬을 시작합니다. 앱은 전체 경로로 su를 호출하므로 — /apex는 전혀 건드리지 않습니다.

빌드 (기기에서, Termux)

cd exploit
PATH=/data/data/com.termux/files/usr/bin:$PATH \
  make HOST_CLANG=/data/data/com.termux/files/usr/bin/clang \
       NDK_ROOT=/root/android-sdk/ndk/26.1.10909125

• Termux clang-21 (aarch64, android 호스트) + NDK r26 sysroot — NDK 래퍼는 기기에서 x86_64를 실행하지 못하지만, sysroot는 아키텍처 독립적임
• API 34: NDK r26에는 35 디렉터리가 없고, 35에서는 lld가 루트의 정적 libc.a를 조용히 가져감 (7 MB, .so 내부에 bionic 포함)
• 출력: build/PD2520-BP2A.250605.031.A3/bin/preload.so (~140 KB) 및 build/embed/su_daemon_aarch64_pie (su, ~11 KB)

런타임 환경 요구사항

• 커널 6.6.89-android15-8-g1f71897ac249-abogki467805059-4k (오프셋은 이 boot.img의 kallsyms+BTF에서 추출; 커널 변경 = target.h 재생성)
• shell 도메인(adb)에서 실행: cd /data/local/tmp/rmv && LD_PRELOAD=$PWD/preload.so /system/bin/true

안정화 레이어 (v2)

upstream 위에 추가된 것

환경 변수 설정

• RMV_ATTEMPTS=N — 전체 시도 횟수 (기본값 3)
• RMV_RETRY_DELAY=N — 시도 간 대기 시간(초) (기본값 8)
• NEO11_* — upstream 핸들 (delay/nice/attempts) 유지됨

패닉이 발생하는 원인 (분석)

1. 타이밍 붕괴 — CONFIG_INIT_STACK_ALL_ZERO가 스택을 덮어씀: fake waiter가 발동 전에 파괴됨 → 쓰레기 노드로 rb-tree rebalance → oops. quiesce + retry로 완화 (upstream은 기회가 한 번뿐이었음).
2. 쓰레기 주소에 기록 — reclaim 실패 후 pipe_buffer 스캔이 잘못된 타깃을 찾음. cred-guard가 가장 위험한 경우를 차단.
3. 스톡의 panic_on_oops=1 — 어떤 oops든 = 재부팅. posture는 루트 직후 0으로 설정하지만, 루트 전에는 방어 수단이 신중함뿐임.