asus-i005-cve-2026-43499

دراسة تكييف CVE-2026-43499 (GhostLock) على ASUS ROG Phone 5S (ASUS_I005).

الخلاصة: تم التحقق الكامل من إثارة الثغرة واستعادة المكدس؛ لم تكتمل سلسلة رفع الصلاحيات بسبب عدم كفاية عمق تغطية المكدس.

على وجه التحديد:

• تم التحقق بنجاح من Stage 0~1.6 بالكامل (الإثارة، استعادة المكدس، تسريب عنوان المكدس)
• تتطلب الكتابة البدائية في Stage 2 تغطية waiter+0x28..0x40 (pi_tree_entry.rb_left و lock)
• pselect nfds=320 يغطي فقط حتى waiter+0x27
• لم يتم العثور على حامل استعادة مكدس يغطي عمقًا أكبر (تم استنفاد أكثر من 40 syscall مرشحًا)
• كما تم سد جميع مصادر تسريب KASLR في i005 بالكامل

للتحليل المفصل راجع docs/05-limitations.md.

TL;DR

المرحلة	المحتوى	الحالة
0	تفعيل UAF (3 خيوط + CMP_REQUEUE_PI)	✅
1	استرجاع مكدس pselect timeout=0 (shift=10)	✅
1.6	تسريب SP لمكدس نواة W (perf PERF_SAMPLE_REGS_INTR)	✅
2	كتابة إلى عنوان عشوائي (يتطلب KASLR slide)	❌
—	تسريب KASLR (فشلت جميع المصادر الثمانية)	❌

الجهاز المستهدف

العنصر	القيمة
الجهاز	ASUS ROG Phone 5S (ASUS_I005)
SoC	Snapdragon 888 (SM8350)
Android	13
النواة	5.4.210-qgki-perf-gc89cd02a7dfe arm64
SELinux	Enforcing (u:r🐚s0)
CapEff	0

نظرة عامة على الثغرة

CVE-2026-43499 (GhostLock) هو ثغرة استخدام بعد التحرير (UAF) في المكدس ضمن النظام الفرعي rtmutex في نواة Linux. يستخدم remove_waiter() المتغير current بدلاً من waiter->task في مسار التراجع عن القفل الوكيل، مما يؤدي إلى بقاء مؤشر معلّق في task_struct->pi_blocked_on.

النتائج الرئيسية

1. استعادة مكدس pselect timeout=0 (أصلي)

• pselect timeout>0 → do_select → schedule → يتم اجتياز pi_blocked_on المعلّق → جمود
• عند timeout=0 يكون end_time=NULL، ويعود do_select فورًا، لكن _copy_from_user لا يزال يُنفَّذ
• nfds=320 → نسخة واحدة 40 بايت → core_sys_select يسلك stack_fds على المكدس
• نقطة بداية ex fd_set محاذية تمامًا لنقطة بداية waiter → PSELECT_WAITER_WORD_SHIFT = 10

2. تسريب عنوان مكدس نواة W

• perf_event_open(pid=W_tid) + PERF_SAMPLE_REGS_INTR(SP)
• تصفية مكدس IRQ → 41 عينة مكدس W حقيقية متطابقة تمامًا
• محاذاة 16KB → sp_top → fake_waiter = sp_top - 0x1b0

3. السطح المانع — إعدادات تحصين i005 تقاوم جميع تسريبات KASLR

راجع docs/05-limitations.md:

• kptr_restrict=2
• عتاد perf يسجّل على arm64 عنوان PC لنقطة دخول متجه EL0→EL1 (overflow delayed)
• perf_event_open(system-wide/kworker) EACCES
• bpf() EACCES
• /proc/{kallsyms,timer_list,self/stack} EACCES
• /sys/module/*/sections EACCES

بنية الدليل

• docs/ وثائق التحليل والجدول الزمني
  • 06-research-snapshot.md لقطة البحث الكاملة
  • 07-iteration-log.md سجل الإصدارات الفاشلة
  • disasm/ مقاطع التفكيك الرئيسية
  • recon/ مخرجات الاستطلاع
• include/ جدول الرموز + إزاحات البنى
• src/ كود PoC المصدري (راجع src/README.md)
• scripts/ سكربتات التحليل
• logs/ سجلات التشغيل (غير مدرجة في git)

إعادة الإنتاج

# 1. استخراج الرموز والإزاحات (يتطلب vmlinux المُجمَّع من كود مصدر النواة الرسمي من ASUS)
./scripts/extract_symbols.sh
./scripts/gen_symbols_h.sh
./scripts/extract_offsets.sh

# 2. تجميع Stage 0
aarch64-linux-gnu-gcc -static -O2 -pthread \
  -o ~/tmp/work/bin/poc_stage0_trigger src/poc_stage0_trigger.c

# 3. التشغيل على الجهاز (يتطلب adb shell إلى الجهاز الهدف)
adb shell /data/local/tmp/poc_stage0_trigger
سلسلة الأدوات: aarch64-linux-gnu-gcc -static -O2 -pthread

المراجع

· gitchw/ghostlock-cve-2026-43499        Huawei Watch 4 Pro، 5.4.210 (ARM32)
· ccp-p/ghostlock-cve-2026-43499-4.19-k40  Redmi K40، 4.19.157 (aarch64)
· JoinChang/ghostlock-oneplus              أجهزة OnePlus متعددة، جدوى تخطيط المكدس
· knowlily/cve-2026-43499-honor            تحليل فشل Honor

إخلاء المسؤولية

للبحث الأمني فقط. يُرجى عدم الاستخدام على أجهزة غير مصرح بها.