CVE-2026-43499-ZFOLD4

Девайс-специфичный исследовательский порт CVE-2026-43499 (IonStack PI write-what-where) для канадского Galaxy Z Fold4 SM-F936W на прошивке F936WVLU1AVGA.

Этот репозиторий — аналог для Fold4 репозиториев CVE-2026-43499-S24U и CVE-2026-43499-A36. В нём зафиксирован текущий незавершённый прогресс: переиспользование (reclaim), взведение UAF на остаточном стеке и покрытие leftover.lock реализованы; вставка [7] lock.waiters так и не попадает на переиспользованную страницу. CFI / physrw / root не достигнуты.

Смещения и раскладки применимы только к этой прошивке. Не копируйте константы с S24U / S25 / A36 / S9180 / GRKU на эту цель. В частности, SKB_DATA_DELTA здесь равен -0xe80 (на S9180 — -0x1000).

Используйте только на устройствах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.

Поддерживаемая цель

Model:        SM-F936W
Codename:     q4q
Board:        taro (Snapdragon 8 Gen 1)
Android:      12 / One UI 4.1.1 (SDK 32)
AP / PDA:     F936WVLU1AVGA
Fingerprint:  samsung/q4qcsx/q4q:12/SP2A.220305.013/F936WVLU1AVGA:user/release-keys
Kernel:       5.10.81-android12-9-24709469-abF936WVLU1AVGA
Architecture: arm64 / 4K pages
Serial used:  RFCT70A6APD (authorized owner device)

SHA-256 образа 9ec34bbfa6a732001ead04a3e6aea8a6ad2283e3280b8b7d024c47056003fe3d. SHA-256 восстановленного vmlinux.elf — a5a5fa849f3e47f185d8cf4d5796b2ada10d251153a5fcea51ba138e0c565a0c. Сырые Image и vmlinux.elf не поставляются (см. analysis/boot-unpack/SHA256SUMS).

Статус (честно)

Последний живой артефакт: analysis/artifacts/cve-2026-43499-v104-resscan (SHA-256 dd7968e71f2c151be46b7c386cd1380ace191854d36c08c11283266b82c8656b), boot f5264a43-7544-460e-a70d-becf90960383, warranty_bit=0.

См. docs/PROGRESS.md — матрица этапов.

Что содержит это дерево

• Профиль цели src/targets/q4q-F936WVLU1AVGA/ (смещения на основе образа).
• Диагностический пейлоад (src/): so1000-установка остатка, измерение stamp-SP, подсмотр остатка в любом месте, DIAG_LOCK_MINIMAL.
• Анализ Fold4: тексты boot-unpack, дизассемблирование, подобранные логи v93/v96/v101/v103/v104, избранные диагностические бинарники.
• Целевые пейлоады линии / заметки по портированию из Root-My-Galaxy-Payloads feature/grku-race-parity @ 749633c (не константы Fold4).

Здесь нет архивов прошивки, сырого ядра Image, vmlinux.elf, исходников Android-приложения или KernelSU-модуля для Fold4.

Сборка

export ANDROID_NDK_HOME=/path/to/android-ndk   # NDK r29 или совместимый
make TARGET=q4q-F936WVLU1AVGA API=32

Результаты:

build/q4q-F936WVLU1AVGA/cve-2026-43499
build/q4q-F936WVLU1AVGA/cve-2026-43499-app.so
build/q4q-F936WVLU1AVGA/cve-2026-43499-root

Относитесь к бинарникам как к диагностическим. Не считайте setattr с success=1 завершённой записью [7] или [11].

Замороженные параметры

Держите их без изменений, пока новый факт об образе не вынудит правку:

DIAG_RECLAIM_PREDRAIN_SENDS=768
DIAG_RECLAIM_SENDS=1
DIAG_WRITE_SHAPE=3
DIAG_SELF_WRITE_OFF=0x6000
DIAG_PERF_RESIDUAL=1
DIAG_RECLAIM_PEEK=1

Примечания

• Углубление спрея, defer-all32 или восстановление ASHMEM_MISC_FOPS до попадания skb-peek самозаписи (self_src == fake_fops) бесполезно на этой прошивке.
• Установка leftover.task в init_task или в fake_task страницы подавляет [7]. Пробивание leftover.task, пустого крайне-левого элемента или prio=0 также не работает.
• Удалённый setattr на том же ядре перезагружает устройство.
• Не копируйте числовые константы с другого устройства.

Документация

Ссылки

• Линия IonStack / CVE-2026-43499 (NebuSec CyberMeowfia и связанные порты)
• Каркас пейлоадов: BuSung-dev/Root-My-Galaxy-Payloads
• Автономный A36: fusiondrive/CVE-2026-43499-A36
• Исследование S24U: fusiondrive/CVE-2026-43499-S24U

Лицензия Apache 2.0: LICENSE.