Root My Galaxy SM-S9180 (dm3q) — порты payload для FZG1

Порты payload для CVE-2026-43499 (UAF → временный root через KernelSU LKM) для Samsung Galaxy S23 Ultra SM-S9180 (dm3q).

Гонконг (TGY) — S9180ZHS8FZG1

• Ядро: 5.15.189-android13-8-33413713-abS9180ZHS8FZG1 (патч безопасности от 2026-07-05)
• Метод получения root: эксплойт UAF CVE-2026-43499 + KernelSU LKM (временный root, теряется при перезагрузке)
• Статус: работает — su -c id → uid=0(root) context=u:r:ksu:s0, ksud 3.2.5

Файл	Описание
RootMyGalaxy-S9180-FZG1.apk	Подписанный APK (v3, CN=RMG), устанавливаемый, содержит payload
cve-2026-43499-app.so	Пропатченный payload, md5 ad6306e330897aa6b85b8badea1d60f7
fzg1-patch-spec.json	6 патчей movz, применённых к payload форка FZF5
target.h	Профиль цели FZG1 с исправленными смещениями
ISSUE.md	Отчёт о проблеме/порте для upstream-репозитория (BuSung-dev/Root-My-Galaxy-Payloads)

Ключевая находка

Между FZF5 и FZG1 изменились только 3 символа данных (все сдвинуты на +0x5c0):

Символ	FZF5	FZG1
kmalloc_caches	0x020641f8	0x020647b8
anon_pipe_buf_ops	0x01e7f1e0	0x01e7f7a0
ashmem_fops	0x0200d238	0x0200d7f8

Все остальные символы (семейство ashmem, init_task, prepare_kernel_cred и т. д.) не изменились. Миграция movz состоит всего из 6 патчей:

0x0067ec: 0xd238 -> 0xd7f8   (ashmem_fops)
0x007470: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x00754c: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x00765c: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x0078ac: 0x41f8 -> 0x47b8   (kmalloc_caches)
0x007af4: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)

Китай (CHC) — S9180ZCS8FZG1

Работающий порт для китайской прошивки — см. CHC-README.md для полных заметок о порте, включая ловушку со сдвигом имён на единицу в CHC kallsyms и 10 исправленных адресов символов данных.

Файл	Описание
RootMyGalaxy-S9180-CHC.apk	Подписанный APK (v3, CN=RMG), устанавливаемый, содержит payload CHC
cve-2026-43499-chc-app.so	Пропатченный payload CHC, md5 5292cdf88e64cf54bd1b4b44f63e45ed
chc-patch-spec.json	10 патчей movz, применённых к рабочему payload TGY FZG1
chc-target.h	Профиль цели CHC с исправленными смещениями

• Ядро: 5.15.189-android13-8-3251900-abS9180ZCS8FZG1 (сборка 3251900)
• Статус: работает — эксплойт успешен с первой попытки; китайский негативный экран (三星智慧主页) и Google GMS сосуществуют на одной и той же ROM.

S9180ZCS8FZH3 (патч 2026-08) — GhostLock по-прежнему не исправлен

Последующая прошивка CHC (ядро собрано 12 августа 2026 г., та же строка версии) была дизассемблирована в сравнении с ZG1: remove_waiter() инструкционно идентична (1331 инструкция, 0 структурных различий), а rt_mutex_start_proxy_lock / task_blocks_on_rt_mutex побайтово идентичны — upstream-исправление 3bfdc63936dd отсутствует. Перестроена только область rodata, что сдвинуло 3 символа данных на −0xC0. Root проверен и работает на ZH3 с портированным payload.

Файл	Описание
RootMyGalaxy-S9180-CHC-ZH3.apk	Подписанный APK (v3, CN=RMG) для S9180ZCS8FZH3
cve-2026-43499-chc-zh3-app.so	Payload ZH3, md5 d7de6cebf66975f40d7d301fe2f0d7f3
chc-zh3-patch-spec.json	6 патчей movz (3 символа сдвинуты на −0xC0)

Установка и запуск

# 1. Install the APK matching your firmware
adb install -r RootMyGalaxy-S9180-FZG1.apk       # TGY  S9180ZHS8FZG1
adb install -r RootMyGalaxy-S9180-CHC.apk        # CHC  S9180ZCS8FZG1
adb install -r RootMyGalaxy-S9180-CHC-ZH3.apk    # CHC  S9180ZCS8FZH3

# 2. Launch the app and run the exploit (one attempt)
# Root is temporary: re-run the exploit after every full reboot.

Ограничения

• Только временный root (KernelSU LKM): теряется при полной перезагрузке, повторно получается повторным запуском эксплойта.
• Soft-reboot KernelSU сохраняет root.
• Никогда не используйте кнопку «обновить» в приложении для модулей — всегда устанавливайте zip-файлы вручную.
• На CHC: демон UMH в контексте ядра (u:r:kernel:s0) блокируется Samsung DEFEX от запуска pm install (SIGKILL) — используйте su от KernelSU (u:r:ksu:s0).