RMV Exploit — compilação limpa do CVE-2026-43499 para iQOO Neo 11 (PD2520)

Fork de boxiaolanya2008/CVE-2026-43499-Neo11Plus, reelaborado para o RootMyVivo Neo: removido tudo o que não é necessário para o nosso cenário, mantido o kernel do exploit verificado sem alterações de timing.

O que foi removido do upstream

O que foi mantido sem alterações

• Kernel do exploit: futex PI UAF → pselect fake lock route → heap spray → pipe physrw → root (timings, threads, estratégia de reclaim — como na compilação verificada)
• posture: panic_on_oops=0, panic_on_warn=0 (proteção contra panics), kptr_restrict/dmesg_restrict, envenenamento AVC (permissive sem quebrar policycap)
• daemon su: binário cliente + daemon com unix socket, PTY interativo, encaminhamento para o KernelSU /system/bin/su, quando este aparece

Instalação do su (nosso esquema)

O exploit coloca /data/local/tmp/su (0755, root:root, contexto system_file) e inicia o daemon com socket /data/local/tmp/temp_su.sock. O aplicativo chama o su pelo caminho completo — /apex não é tocado de forma alguma.

Compilação (no dispositivo, Termux)

cd exploit
PATH=/data/data/com.termux/files/usr/bin:$PATH \
  make HOST_CLANG=/data/data/com.termux/files/usr/bin/clang \
       NDK_ROOT=/root/android-sdk/ndk/26.1.10909125

• Termux clang-21 (aarch64, host android) + sysroot do NDK r26 — os wrappers x86_64 do NDK não são executados no dispositivo, e o sysroot é independente de arquitetura
• API 34: no NDK r26 não existe o diretório 35; com 35 o lld silenciosamente pega o libc.a estático da raiz (7 MB e bionic dentro do .so)
• Saída: build/PD2520-BP2A.250605.031.A3/bin/preload.so (~140 KB) e build/embed/su_daemon_aarch64_pie (su, ~11 KB)

Requisitos do ambiente de execução

• Kernel 6.6.89-android15-8-g1f71897ac249-abogki467805059-4k (offsets de kallsyms+BTF deste boot.img; troca de kernel = regeneração do target.h)
• Execução a partir do domínio shell (adb): cd /data/local/tmp/rmv && LD_PRELOAD=$PWD/preload.so /system/bin/true

Camada de estabilização (v2)

O que foi adicionado sobre o upstream

Configuração por ambiente

• RMV_ATTEMPTS=N — número de tentativas completas (padrão 3)
• RMV_RETRY_DELAY=N — pausa entre tentativas em segundos (padrão 8)
• NEO11_* — controles do upstream (delay/nice/attempts) preservados

De onde vêm os panics (análise)

1. Quebra de timing — CONFIG_INIT_STACK_ALL_ZERO zera a stack: o fake waiter é destruído antes de disparar → rb-tree rebalance sobre nó lixo → oops. Mitigado por quiesce + retry (no upstream havia uma única chance).
2. Escrita em endereço lixo — após reclaim malsucedido do pipe_buffer o scan encontra um alvo falso. O cred-guard corta os mais perigosos.
3. panic_on_oops=1 no stock — qualquer oops = reboot. O posture define 0 logo após o root, mas antes do root a proteção é apenas a cautela.