CVE-2026-43499-ZFOLD4

Porte de pesquisa específico para dispositivo do CVE-2026-43499 (IonStack PI write-what-where) para o Galaxy Z Fold4 canadense SM-F936W com firmware F936WVLU1AVGA.

Este repositório é a contraparte do Fold4 de CVE-2026-43499-S24U e CVE-2026-43499-A36. Ele captura o progresso atualmente incompleto: reapropriação, armamento do UAF de pilha residual e cobertura de leftover.lock estão implementados; a inserção de [7] lock.waiters nunca chega à página reapropriada. CFI / physrw / root não são alcançados.

Os offsets e layouts aplicam-se somente a este firmware. Não copie constantes de S24U / S25 / A36 / S9180 / GRKU para este alvo. Em particular, SKB_DATA_DELTA é -0xe80 aqui (no S9180 é -0x1000).

Use somente em dispositivos que você possui ou para os quais tenha autorização explícita para testar.

Alvo suportado

Model:        SM-F936W
Codename:     q4q
Board:        taro (Snapdragon 8 Gen 1)
Android:      12 / One UI 4.1.1 (SDK 32)
AP / PDA:     F936WVLU1AVGA
Fingerprint:  samsung/q4qcsx/q4q:12/SP2A.220305.013/F936WVLU1AVGA:user/release-keys
Kernel:       5.10.81-android12-9-24709469-abF936WVLU1AVGA
Architecture: arm64 / 4K pages
Serial used:  RFCT70A6APD (authorized owner device)

SHA-256 da Image 9ec34bbfa6a732001ead04a3e6aea8a6ad2283e3280b8b7d024c47056003fe3d. SHA-256 do vmlinux.elf recuperado a5a5fa849f3e47f185d8cf4d5796b2ada10d251153a5fcea51ba138e0c565a0c. A Image bruta e o vmlinux.elf não são incluídos (veja analysis/boot-unpack/SHA256SUMS).

Status (honesto)

Artefato ao vivo mais recente: analysis/artifacts/cve-2026-43499-v104-resscan (SHA-256 dd7968e71f2c151be46b7c386cd1380ace191854d36c08c11283266b82c8656b), boot f5264a43-7544-460e-a70d-becf90960383, warranty_bit=0.

Consulte docs/PROGRESS.md para a matriz de marcos.

Conteúdo desta árvore

• Perfil do alvo src/targets/q4q-F936WVLU1AVGA/ (offsets baseados na Image).
• Payload de diagnóstico (src/): plantio de leftover so1000, medição de stamp-SP, peek residual em qualquer lugar, DIAG_LOCK_MINIMAL.
• Análise do Fold4: texto de boot-unpack, desmontagem, logs selecionados de v93/v96/v101/v103/v104, binários de diagnóstico escolhidos.
• Alvos de payload da linhagem / notas de portabilidade de Root-My-Galaxy-Payloads feature/grku-race-parity @ 749633c (não são constantes do Fold4).

Ele não contém arquivos tar de firmware, a Image bruta do kernel, vmlinux.elf, código-fonte de aplicativo Android ou um módulo KernelSU do Fold4.

Compilação

export ANDROID_NDK_HOME=/path/to/android-ndk   # NDK r29 or compatible
make TARGET=q4q-F936WVLU1AVGA API=32

Saídas:

build/q4q-F936WVLU1AVGA/cve-2026-43499
build/q4q-F936WVLU1AVGA/cve-2026-43499-app.so
build/q4q-F936WVLU1AVGA/cve-2026-43499-root

Trate os binários como diagnósticos. Não trate um setattr com success=1 como uma escrita [7] ou [11] concluída.

Parâmetros congelados

Mantenha estes a menos que um novo fato sobre a Image force uma alteração:

DIAG_RECLAIM_PREDRAIN_SENDS=768
DIAG_RECLAIM_SENDS=1
DIAG_WRITE_SHAPE=3
DIAG_SELF_WRITE_OFF=0x6000
DIAG_PERF_RESIDUAL=1
DIAG_RECLAIM_PEEK=1

Notas

• Aprofundar o spray, defer-all32 ou restaurar ASHMEM_MISC_FOPS antes de um HIT de auto-escrita skb-peek (self_src == fake_fops) não é útil neste firmware.
• Definir leftover.task como init_task ou a fake_task da página suprime [7]. Anular leftover.task, empty-leftmost ou prio=0 também falha.
• Setattr remoto no mesmo núcleo reinicia o dispositivo.
• Não copie constantes numéricas de outro dispositivo.

Documentação

Referência

• Linhagem IonStack / CVE-2026-43499 (NebuSec CyberMeowfia e portes relacionados)
• Framework de payload: BuSung-dev/Root-My-Galaxy-Payloads
• A36 autônomo: fusiondrive/CVE-2026-43499-A36
• Pesquisa S24U: fusiondrive/CVE-2026-43499-S24U

Licença Apache 2.0: LICENSE.