CVE-2026-43499 — Устройства Samsung с ядром 5.10 (IonStack)

https://github.com/user-attachments/assets/f3d0858d-f8f5-444f-8ae5-541c2bc744c3

Хотя этот репозиторий изначально создавался как порт для конкретного устройства — Galaxy S22 Ultra, с тех пор проект изменился и расширился для поддержки всех устройств Samsung, работающих на ядре Linux Android 12 5.10.

Фреймворк эксплойта поддерживает как архитектуры Qualcomm (например, Snapdragon 8 Gen 1 / SM8450), так и Samsung Exynos (например, Exynos 2200), адаптируя структуры ядра, диспетчеризацию CFI, вычисление смещения KASLR и организацию гонки под структуры 5.10 GKI. Любое устройство Samsung с ядром 5.10 может быть поддержано путём извлечения его символов и структур данных в папку целевого устройства src/targets/<TARGET> с помощью target_generator.

Поддерживаемые устройства и цели

Следующие предварительно настроенные профили целей включены в src/targets/<TARGET>. Каждый профиль содержит проверенные смещения ядра, структуры данных и конфигурации цели для конкретного выпуска прошивки:

Устройство	Модель	Цель / Сборка	SoC	Android	Регион / Примечания
Galaxy S22	SM-S901B	S901BXXSNGZD7	Samsung Exynos 2200	Android 16	Европа / Международная версия
Galaxy S22	SM-S901E	S901EXXSEGZE3	Qualcomm Snapdragon 8 Gen 1	Android 16	Глобальная / Латинская Америка / Азия / Африка
Galaxy S22	SM-S901U1	S901U1UESAGZF3	Qualcomm Snapdragon 8 Gen 1	Android 16	США (заводская разблокировка)
Galaxy S22	SM-S901U1	S901U1UESAGZH3	Qualcomm Snapdragon 8 Gen 1	Android 16	США (заводская разблокировка)
Galaxy S22	SM-S901U	S901USQSAGZF3	Qualcomm Snapdragon 8 Gen 1	Android 16	США (заблокирован оператором)
Galaxy S22	SM-S901U	S901USQSAGZH3	Qualcomm Snapdragon 8 Gen 1	Android 16	США (заблокирован оператором)
Galaxy S22	SM-S901U	S901USQU2BVK1	Qualcomm Snapdragon 8 Gen 1	Android 13	США (заблокирован оператором)
Galaxy S22	SM-S901W	S901WVLS4DWL3	Qualcomm Snapdragon 8 Gen 1	Android 14	Канада
Galaxy S22	SM-S901W	S901WVLSAGZH3	Qualcomm Snapdragon 8 Gen 1	Android 16	Канада
Galaxy S22+	SM-S9060	S9060ZCS9GZA1	Qualcomm Snapdragon 8 Gen 1	Android 16	Китай (CHC)
Galaxy S22+	SM-S906E	S906EXXSEGZE3	Qualcomm Snapdragon 8 Gen 1	Android 16	Глобальная / Латинская Америка / Азия / Африка
Galaxy S22 Ultra	SM-S908B	S908BXXSMGZB2	Samsung Exynos 2200	Android 16	Европа / Международная версия
Galaxy S22 Ultra	SM-S908B	S908BXXSNGZD7	Samsung Exynos 2200	Android 16	Европа / Международная версия
Galaxy S22 Ultra	SM-S908E	S908EXXSEGZE3	Qualcomm Snapdragon 8 Gen 1	Android 16	Глобальная / Латинская Америка / Азия / Африка
Galaxy S22 Ultra	SM-S908E	S908EXXSEGZH4	Qualcomm Snapdragon 8 Gen 1	Android 16	Глобальная / Латинская Америка / Азия / Африка
Galaxy S22 Ultra	SM-S908N	S908NKSS9GZE5	Qualcomm Snapdragon 8 Gen 1	Android 16	Южная Корея
Galaxy S22 Ultra	SM-S908W	S908WVLS8FYG7	Qualcomm Snapdragon 8 Gen 1	Android 15	Канада (базовый профиль)
Galaxy S22 Ultra	SM-S908W	S908WVLSAGZE3	Qualcomm Snapdragon 8 Gen 1	Android 16	Канада
Galaxy S22 Ultra	SCG14	SCG14KDS1EZE3	Qualcomm Snapdragon 8 Gen 1	Android 16	Япония (au KDDI)
Galaxy Tab S8 Ultra	SM-X900	X900XXU9DYE5	Qualcomm Snapdragon 8 Gen 1	Android 15	Глобальная (Wi-Fi)

[!NOTE] Смещения и структуры данных специфичны для каждой сборки цели. Всегда выполняйте сборку с соответствующим параметром PROJECT=<TARGET> для точной версии прошивки вашего устройства.

Исходный код

Этот порт основан на реализации эксплойта, опубликованной в:

• NebuSec/CyberMeowfia — IonStack/CVE-2026-43499/exploit
• BuSung-dev/CVE-2026-43499-S25U
• Ревизия upstream, использованная в качестве основы для портирования: b850d3bddc74c3328d5fbcc0568d21962b55d949

Особая благодарность:

• F-19-F/IonStackQuest3

Оригинальная лицензия Apache License 2.0 сохранена в LICENSE, а требования к атрибуции указаны в NOTICE.

Основные изменения при портировании

• Эксплойт портирован с ядра v6.6 (Galaxy S25 Ultra) на архитектуру ядра Android v5.10 (с поддержкой всех устройств Samsung с ядром 5.10 на Qualcomm и Exynos).
• Добавлены модульные профили целей в src/targets/<TARGET> со структурами ядра и генерацией смещений через target_generator.
• Гонка pselect заменена на маршрут exp32 (или exp64, где применимо): организация futex, 32-битный стековый штамп и sched_setattr выполняются во встроенной дочерней стадии (src/exp32/).
• Добавлено автоматическое восстановление смещения KASLR на основе tracefs для ядра Samsung.
• Портированы макет фальшивого PI-ожидающего/задачи, стадия CFI/FOPS и примитив физического чтения/записи для v5.10.
• Добавлен безопасный для KDP путь получения root через system_unbound_wq user-mode-helper и обновлена цель принудительного применения SELinux во время выполнения на selinux_state.enforcing.
• Добавлен помощник для выполнения root-команд через сокет по пути /data/local/tmp/cve-2026-43499-root.
• Немедленно восстанавливает глобальный указатель FOPS ashmem после установления примитива произвольного чтения/записи.
• Удерживает возвращённые страницы в отсоединённом процессе cve43499-hold после успеха, чтобы висячие ссылки ядра не могли быть переиспользованы в несвязанных объектах slab.
• Выполняет неудачные попытки гонки в независимых дочерних процессах и автоматически повторяет с настроенной под устройство последовательностью задержек.

Сборка

Установите ANDROID_NDK_HOME на Android NDK r27+ или совместимый тулчейн, затем запустите с выбранным PROJECT=<TARGET> из таблицы выше:

# Пример сборки для Galaxy S22 Ultra (SM-S908W):
make PROJECT=S908WVLS8FYG7 clean preload root-helper

# Или укажите любую цель из списка поддерживаемых устройств:
# make PROJECT=S901BXXSNGZD7 clean preload root-helper   # Galaxy S22 (Exynos)
# make PROJECT=S906EXXSEGZE3 clean preload root-helper   # Galaxy S22+ (Snapdragon)
# make PROJECT=X900XXU9DYE5 clean preload root-helper    # Galaxy Tab S8 Ultra