RMV Exploit — чистая сборка CVE-2026-43499 для iQOO Neo 11 (PD2520)

Форк boxiaolanya2008/CVE-2026-43499-Neo11Plus, переработанный под RootMyVivo Neo: убрано всё, что не нужно нашему сценарию, оставлено проверенное ядро эксплойта без изменений таймингов.

Что убрано от upstream

Что оставлено без изменений

• Ядро эксплойта: futex PI UAF → pselect fake lock route → heap spray → pipe physrw → root (тайминги, потоки, reclaim-стратегия — как в проверенной сборке)
• posture: panic_on_oops=0, panic_on_warn=0 (защита от паник), kptr_restrict/dmesg_restrict, AVC-отравление (permissive без ломки policycap)
• su-демон: бинарник-клиент + демон с unix-сокетом, PTY-интерактив, форвардинг на KernelSU /system/bin/su, когда тот появляется

Установка su (наша схема)

Эксплойт кладёт /data/local/tmp/su (0755, root:root, system_file context) и стартует демон с сокетом /data/local/tmp/temp_su.sock. Приложение вызывает su по полному пути — /apex не трогается вообще.

Сборка (на устройстве, Termux)

cd exploit
PATH=/data/data/com.termux/files/usr/bin:$PATH \
  make HOST_CLANG=/data/data/com.termux/files/usr/bin/clang \
       NDK_ROOT=/root/android-sdk/ndk/26.1.10909125

• Termux clang-21 (aarch64, android-хост) + NDK r26 sysroot — NDK-обёртки x86_64 на устройстве не запускаются, а sysroot архитектурно-независим
• API 34: в NDK r26 нет каталога 35, при 35 lld молча берёт статический libc.a из корня (7 МБ и bionic внутри .so)
• Выход: build/PD2520-BP2A.250605.031.A3/bin/preload.so (~140 КБ) и build/embed/su_daemon_aarch64_pie (su, ~11 КБ)

Требования к среде выполнения

• Ядро 6.6.89-android15-8-g1f71897ac249-abogki467805059-4k (оффсеты из kallsyms+BTF этого boot.img; смена ядра = перегенерация target.h)
• Запуск из shell-домена (adb): cd /data/local/tmp/rmv && LD_PRELOAD=$PWD/preload.so /system/bin/true

Стабилизационный слой (v2)

Что добавлено поверх upstream

Конфигурация окружением

• RMV_ATTEMPTS=N — число полных попыток (по умолчанию 3)
• RMV_RETRY_DELAY=N — пауза между попытками в секундах (по умолчанию 8)
• NEO11_* — ручки upstream (delay/nice/attempts) сохранены

Откуда берутся паники (разбор)

1. Тайминговый срыв — CONFIG_INIT_STACK_ALL_ZERO затирает стек: fake waiter уничтожается до срабатывания → rb-tree rebalance по мусорному узлу → oops. Смягчается quiesce + retry (у upstream был один шанс).
2. Запись по мусорному адресу — после неудачного reclaim pipe_buffer сканирование находит ложную цель. cred-guard отсекает самые опасные.
3. panic_on_oops=1 в стоке — любой oops = перезагрузка. posture выставляет 0 сразу после рута, но до рута защита только аккуратность.