GhostLock — كسر حماية أداة تحميل الإقلاع المقفلة

استغلال نواة لأجهزة Android ذات أداة تحميل الإقلاع المقفلة. يحقق صلاحيات الجذر المؤقتة + تثبيت KernelSU دون فتح قفل أداة تحميل الإقلاع أو تعديل صورة الإقلاع. اكتشاف تلقائي لوقت التشغيل لإصدار النواة مع جدول إزاحات متعدد الأجهزة.

الثغرة

CVE-2026-43499 — Futex PI (ميراث الأولوية) Use-After-Free

تؤثر على نواة Linux من 5.7 إلى 7.1. تم إصلاحها في الإصدارات المستقرة 6.1.175 و6.6.140 و6.12.86. معظم أجهزة Android لا تزال غير مصححة حتى سبتمبر 2026.

استدعاء النظام pselect6 ينسخ بيانات fd_set على مكدس النواة. عند دمجه مع آلية انتظار futex PI، يمكن استعادة إطار مكدس محرر كبنية rt_mutex_waiter. ثم تقوم إعادة توازن شجرة rb-red أثناء اجتياز سلسلة PI بكتابة قيم محكومة إلى عناوين نواة عشوائية.

الأجهزة المدعومة

تم التحقق من عملها

إزاحات مستخرجة (بانتظار اختبار الجهاز)

غير ممكنة

يتطلب تراكب مكدس pselect أن يقع rt_mutex_waiter المحرر داخل منطقة stack_fds التي يتحكم بها المستخدم (الكلمات 0–14). مكان وقوعه يحدده ملفا تعريف PGO/LTO للمترجم، وليس إصدار النواة. انظر تخطيط المكدس.

ملاحظة حول جدوى 6.1: نوى OPLUS 6.1 غير ممكنة باستمرار بسبب دمج PGO لـ do_futex. ومع ذلك، تحتفظ بعض نوى 6.1 غير OPLUS (vivo) بسلسلة الاستدعاء القياسية وهي ممكنة (vivo T4، X Fold3 Pro). يجب التحقق من الجدوى لكل جهاز على حدة.

مسار الاستغلال

مساران للجذر، يتم اختيارهما تلقائيًا بناءً على قدرات الجهاز:

المسار A: جذر UMH (المفضل، أجهزة C ashmem)

يتطلب off_ashmem_misc_fops != 0 (C ashmem مع miscdevice ثابت في BSS).

كتابة PI (mode=4)  ←  إعادة توجيه miscdevice fops إلى fops مزيفة
                   ←  قراءة/كتابة configfs ← pipe physrw (قراءة/كتابة نواة دقيقة ببايت واحد)
                   ←  SELinux enforcing = 0 (بايت واحد، بدون إتلاف policycap)
                   ←  UMH: حقن work_struct في system_unbound_wq
                   ←  سكربت الجذر ← ksud late-load ← تثبيت KSU

متاح على: OnePlus 13، OPPO Pad 4 Pro، أجهزة 5.10/6.1 C ashmem. غير متاح على Rust ashmem (6.12 GKI) — miscdevice مخصص على الكومة.

المسار B: كتابة PI مباشرة (احتياطي)

كتابة 1 (mode=1)  ←  SELinux enforcing = 0 (كتابة 8 بايت، تتلف البايتات المجاورة)
كتابة 2 (mode=2)  ←  task->cred = init_cred (uid=0، جميع الصلاحيات)
صدفة الجذر         ←  ksud late-load ← KSU ← إصلاح سياسة SELinux

بعد W1+W2، يقوم الاستغلال بتصحيح حقل config في ملف سياسة SELinux الثنائي (|= 0xC0000000 لـ ANDROID_NETLINK_ROUTE + GETNEIGH) ويعيد تحميله عبر /sys/fs/selinux/load لاستعادة اتصال الشبكة.

وضع التمهيد (هاتف مستقل)

التطبيق (seccomp)  ←  كتابة 1 ← mini-adb TCP ← adb shell: استغلال كامل ← جذر

الإقلاع التلقائي

يتم توفير مشغل وقت الإقلاع بواسطة تطبيق GhostLock Anchor المنفصل.

جدوى تخطيط المكدس

مع NFDS=320، يخصص core_sys_select مخزن stack_fds بحجم 256 بايت على مكدس النواة:

stack_fds:  0    5    10   14 | 15   20   25   29
            ├─in─┤─out─┤─ex──┤ ├res_in┤res_out┤res_ex┤
            ◄── يتحكم به المستخدم ──►│◄── تصفره النواة ──►

يضع الاستغلال حقول waiter المزيفة (task، lock) في خرائط بتات إدخال fd_set. لـ 6.12 nested waiter (14 كلمة): أقصى waiter word ممكن = 3. لـ 5.10/6.1 compact waiter (10 كلمات): أقصى waiter word ممكن = 7.

يعتمد موضع waiter على عمق سلسلة الاستدعاء:

kernel_phys_load

تستخدم جميع عمليات كتابة النواة اسمًا مستعارًا للخريطة الخطية. يختار أداة تحميل الإقلاع kernel_phys_load، والذي يختلف حسب SoC:

القيمة الخاطئة تفشل بصمت. اقرأها على جهاز مجذر:

su -c 'grep -i "Kernel code" /proc/iomem'   # c7810000-... ← 0xc7800000

تجاوز وقت التشغيل: KPHYS=0xc7800000 /data/local/tmp/a/e

PSELECT_SHIFT

/data/local/tmp/a/e                        # الافتراضي (shift=0)
PSELECT_SHIFT=-2 /data/local/tmp/a/e       # OnePlus 13 (6.6)

KIMAGE_TEXT_BASE

تستخدم نوى 5.10 0xffffffc008000000 (VA_BITS=39، مختلف عن الافتراضي 6.x 0xffffffc080000000). يتم التعامل مع هذا تلقائيًا عبر حقل kimage_text_base في إدخال إزاحة الجهاز.

البناء

make NDK_ROOT=/path/to/android-ndk

أو مباشرة:

NDK=/path/to/android-ndk
"$NDK/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android35-clang" \
  -O2 -Wall -Isrc/core -Isrc/devices -DTARGET_CONFIG_H=\"target.h\" \
  src/core/main.c src/core/util.c src/core/slide.c \
  src/core/fops.c src/core/pipe_physrw.c src/core/root.c \
  src/core/miniadb.c src/core/umh_root.c \
  -o ./ghostlock -fPIE -pie -pthread

المتطلبات الأساسية

ksud (مطلوب لتثبيت KSU)

يوفر GhostLock صلاحيات الجذر المؤقتة. يتطلب تثبيت KernelSU ksud الذي يضم kernelsu.ko لكل إصدار KMI.

الإعداد

adb shell mkdir -p /data/local/tmp/a
adb push ./ghostlock /data/local/tmp/a/e
adb shell chmod 755 /data/local/tmp/a/e
adb shell /data/local/tmp/a/e

شغّله بعد اكتمال الإقلاع وجاهزية ADB.

إضافة أجهزة جديدة

يلزم فقط boot.img — بدون جذر، بدون الحاجة للوصول إلى الجهاز.

1. استخراج النواة وkallsyms

انظر دليل أدوات kallsyms لسير العمل الكامل، أو:

python tools/extract_target.py --kallsyms kallsyms.txt
python tools/extract_btf.py kernel

2. تحديد الجدوى

تحقق مما إذا كان do_futex مدمجًا بواسطة PGO بالبحث في ثنائي النواة عن جميع تعليمات الفرع التي تستهدف futex_wait_requeue_pi. إذا كان __arm64_sys_futex يستدعيها مباشرة (متجاوزًا do_futex)، فمن المرجح أن الجهاز غير ممكن.

3. إنشاء إدخال الجهاز

أضف src/devices/<name>/offsets.h مع الإزاحات المستخرجة وأدرجه في src/devices/offsets.h. استخدم ماكرو إزاحات البنية المناسب:

لأجهزة 5.10/6.1 compact waiter، اضبط أيضًا .kimage_text_base=0xffffffc008000000ULL.

الملفات

الترخيص

لأغراض البحث الأمني المصرح به والتعليم فقط.