Root My Galaxy SM-S9180 (dm3q) — FZG1 载荷移植

CVE-2026-43499 载荷（UAF → KernelSU LKM 临时 root）针对 Samsung Galaxy S23 Ultra SM-S9180 (dm3q) 的移植版本。

香港 (TGY) — S9180ZHS8FZG1

• 内核：5.15.189-android13-8-33413713-abS9180ZHS8FZG1（2026-07-05 安全补丁）
• Root 方式：CVE-2026-43499 UAF 漏洞利用 + KernelSU LKM（临时 root，重启后失效）
• 状态：可用 — su -c id → uid=0(root) context=u:r:ksu:s0，ksud 3.2.5

文件	说明
RootMyGalaxy-S9180-FZG1.apk	已签名 APK（v3，CN=RMG），可安装，包含载荷
cve-2026-43499-app.so	已修补的载荷，md5 ad6306e330897aa6b85b8badea1d60f7
fzg1-patch-spec.json	应用于 FZF5 分支载荷的 6 处 movz 补丁
target.h	修正偏移后的 FZG1 目标配置
ISSUE.md	提交给上游仓库（BuSung-dev/Root-My-Galaxy-Payloads）的问题/移植报告

关键发现

FZF5 与 FZG1 之间仅有 3 个数据符号发生变化（全部偏移 +0x5c0）：

符号	FZF5	FZG1
kmalloc_caches	0x020641f8	0x020647b8
anon_pipe_buf_ops	0x01e7f1e0	0x01e7f7a0
ashmem_fops	0x0200d238	0x0200d7f8

所有其他符号（ashmem 系列、init_task、prepare_kernel_cred 等）均未变化。 movz 迁移仅需 6 处补丁：

0x0067ec: 0xd238 -> 0xd7f8   (ashmem_fops)
0x007470: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x00754c: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x00765c: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)
0x0078ac: 0x41f8 -> 0x47b8   (kmalloc_caches)
0x007af4: 0xf1e0 -> 0xf7a0   (anon_pipe_buf_ops)

中国 (CHC) — S9180ZCS8FZG1

针对中国固件的可用移植版本 — 完整移植说明见 CHC-README.md， 其中包括 CHC kallsyms 差一名称偏移陷阱以及 10 个修正后的数据符号地址。

文件	说明
RootMyGalaxy-S9180-CHC.apk	已签名 APK（v3，CN=RMG），可安装，包含 CHC 载荷
cve-2026-43499-chc-app.so	已修补的 CHC 载荷，md5 5292cdf88e64cf54bd1b4b44f63e45ed
chc-patch-spec.json	应用于可用 TGY FZG1 载荷的 10 处 movz 补丁
chc-target.h	修正偏移后的 CHC 目标配置

• 内核：5.15.189-android13-8-3251900-abS9180ZCS8FZG1（构建号 3251900）
• 状态：可用 — 漏洞利用首次尝试即成功；中文负一屏 （三星智慧主页）与 Google GMS 可在同一 ROM 上共存。

S9180ZCS8FZH3（2026-08 补丁）— GhostLock 仍未修复

后续 CHC 固件（内核构建于 2026 年 8 月 12 日，版本字符串相同）已针对 ZG1 进行反汇编 对比：remove_waiter() 指令完全一致（1331 条指令，0 处结构性差异）， rt_mutex_start_proxy_lock / task_blocks_on_rt_mutex 字节级一致 — 上游修复 3bfdc63936dd 并未包含。仅 rodata 区域被重新构建，导致 3 个数据符号偏移 −0xC0。 使用移植后的载荷在 ZH3 上验证 root 可用。

文件	说明
RootMyGalaxy-S9180-CHC-ZH3.apk	适用于 S9180ZCS8FZH3 的已签名 APK（v3，CN=RMG）
cve-2026-43499-chc-zh3-app.so	ZH3 载荷，md5 d7de6cebf66975f40d7d301fe2f0d7f3
chc-zh3-patch-spec.json	6 处 movz 补丁（3 个符号偏移 −0xC0）

安装与运行

# 1. Install the APK matching your firmware
adb install -r RootMyGalaxy-S9180-FZG1.apk       # TGY  S9180ZHS8FZG1
adb install -r RootMyGalaxy-S9180-CHC.apk        # CHC  S9180ZCS8FZG1
adb install -r RootMyGalaxy-S9180-CHC-ZH3.apk    # CHC  S9180ZCS8FZH3

# 2. Launch the app and run the exploit (one attempt)
# Root is temporary: re-run the exploit after every full reboot.

注意事项

• 仅为临时 root（KernelSU LKM）：完全重启后失效，需重新运行漏洞利用以再次获取。
• KernelSU 软重启可保留 root。
• 切勿使用应用内的模块“更新”按钮 — 请始终手动安装 zip 包。
• 在 CHC 上：内核上下文 UMH 守护进程（u:r:kernel:s0）被 Samsung DEFEX 阻止运行 pm install（SIGKILL）— 请使用 KernelSU su（u:r:ksu:s0）。