GhostLock Sabrina

استغلال للحصول على صلاحيات الجذر (root) لجهاز Chromecast with Google TV (sabrina) عبر CVE-2026-43499 -- ثغرة use-after-free في النظام الفرعي futex PI (وراثة الأولوية) في نواة Linux.

يحقق صلاحيات الجذر على جهاز ذي bootloader مقفل يعمل بنظام Android 14 مع نواة 5.15.170 (PGO+BOLT+LTO، clang 17).

الثغرة

يستغل GhostLock خطأً في remove_waiter() يتم استدعاؤه من مسار التراجع -EDEADLK في rt_mutex_start_proxy_lock(). تقوم الدالة بمسح current->pi_blocked_on (الخاصة بمُعيد الطلب، وهي NULL بالفعل) بدلاً من مهمة المنتظر. لا يتم مسح pi_blocked_on الخاصة بالمنتظر أبداً، مما يترك مؤشراً معلقاً (dangling pointer) إلى rt_mutex_waiter محرر على مكدس النواة.

يؤدي استدعاء sched_setattr لاحق إلى تشغيل rt_mutex_adjust_pi -> rt_mutex_adjust_prio_chain، الذي يتبع المؤشر المعلق ويمر عبر سلسلة PI على بيانات يتحكم بها المهاجم على صفحة heap مُعاد استخدامها -- مما يمنح بدائية كتابة عشوائية (arbitrary write) عبر rb_erase.

سلسلة الاستغلال

الابتكارات الرئيسية

• SIGUSR1 walk-before-cleanup: يعمل تراكب SEQPACKET داخل معالج إشارة يقاطع انتظار futex، لذا تُطلق مسارات سلسلة PI قبل أن يتمكن مسار تنظيف futex من التنافس على spinlocks الخاصة بصفحة الرش (يقضي على مشكلة MCS qspinlock wedge)
• user_namespace مزيف: مساحة أسماء مكتفية ذاتياً على صفحة الرش مع خرائط uid/gid مطابقة وucounts = NULL -- يطابق cap_capable في التكرار الأول وينتهي inc_rlimit_ucounts بعد حلقة واحدة، مما يلغي الحاجة إلى تسريب &init_user_ns
• أخذ عينات perf مقيد بـ TID: تضمن مرشحات PERF_SAMPLE_TID أن تُحتسب فقط لقطات سجلات الخيط المستدعي، مما يمنع خدمات النظام النشطة من السيطرة على تصويت الوضع (mode-vote)

الهدف

• الجهاز: Chromecast with Google TV (sabrina)، Amlogic S905X3 (4x A55)، ذاكرة RAM بسعة 2 GB
• النواة: 5.15.170-android14-11-gf4a1f03072af (aarch64، PGO+BOLT+LTO، clang 17.0.2)
• Android: 14، إصدار UTTC.250917.004، تصحيح أمني 2025-10-01
• الإعدادات: CONFIG_FUTEX_PI=y، CONFIG_IO_URING=y، perf_event_paranoid=-1، SELinux في وضع enforcing، panic_on_oops=1، لا توجد user namespaces

البناء

export ANDROID_NDK_HOME=/path/to/android-ndk
make -j$(nproc)

يتطلب Android NDK (تم اختباره مع r27). ينتج ملفاً ثنائياً aarch64 مرتبطاً بشكل ثابت.

الاستخدام

adb push ghostlock /data/local/tmp/
adb shell "cd /data/local/tmp && ./ghostlock --cred"

يستغرق الاستغلال حوالي 20 ثانية (heap spray + قوة غاشمة KernelSnitch). عند النجاح، تنفذ العملية exec لـ /system/bin/sh ببيانات اعتماد uid=0.

التأليف

تم نقل وتطوير هذا الاستغلال بواسطة Claude Opus 4.6 (Anthropic) مع GLM-5.3 (Z.ai) كمستشار في استغلال النواة.

المراجع

• GhostLock (الاستغلال الأصلي) -- استغلال GhostLock لـ OnePlus/Pixel من AnomalyStudio الذي يستند إليه هذا النقل
• KernelSnitch -- قناة جانبية توقيتية لتسريب عناوين heap الخاصة بالنواة عبر تصادمات futex hash (Gruss et al.، TU Graz)
• CVE-2026-43499 -- ثغرة use-after-free في futex PI
• مصدر نواة Linux 5.15 -- kernel/futex/، kernel/locking/rtmutex.c، lib/rbtree.c

إخلاء المسؤولية

نُشر هذا الاستغلال لأغراض البحث الأمني والتعليم. يستهدف جهازاً مملوكاً للباحث. لا تستخدمه على أجهزة لا تملكها أو دون تصريح.

الترخيص

MIT