GhostLock مُعطل SELinux

استخراج Write-1 فقط من JoinChang/ghostlock-oneplus لـ CVE-2026-43499. إنه يعطل وضع enforcing لـ SELinux على أنوية OnePlus المدعومة والضعيفة مع مُحمل إقلاع مقفل، ولا يفعل أي شيء آخر: لا كتابة فوق بيانات الاعتماد، ولا شل جذر، ولا KernelSU، ولا bootstrap، ولا تسرب KASLR.

الثغرة الأمنية

CVE-2026-43499 هو ثغرة استخدام بعد التحرير (use-after-free) في rtmutex لنواة لينكس في مسار futex PI requeue. أثناء التراجع عن القفل الوكيل، تعمل remove_waiter() على current بدلاً من مهمة المنتظر، مما يترك مؤشر pi_blocked_on للمنتظر معلقًا. تم إصلاحها في الإصدارات الأحدث من لينكس 6.12.86 والإصدارات الأحدث من 6.12.

ما يفعله

كتابة PI لعقدة فرعية واحدة:

fake_right = base + 0x100   ->  byte0 = 0 (enforcing), byte1 = 1

إنه يعيد استخدام رش الكومة (heap spray) ومسار PI pselect من الاستغلال الكامل، لكنه يتجاوز KASLR (kaslr_slide = 0). يحاول حتى 20 مرة (مع تفريغ البلاطات بين المحاولات) ويخرج بمجرد أن يقرأ /sys/fs/selinux/enforce القيمة 0.

ما تم إسقاطه من الاستغلال الكامل

يتم الاحتفاظ بالأوليات المشتركة (رش الكومة في util.c, مسار pselect في fops.c, kernelsnitch, وجداول الإزاحة).

الأنوية المختبرة

انظر src/devices/offsets.h، المفتاح بواسطة uname -r:

• OnePlus Ace 6T — 6.12.38-android16-5-...-ab14275539-4k
• OnePlus Ace 6T — 6.12.38-android16-5-...-ab14552068-4k
• OnePlus 15 — 6.12.23-android16-5-...-ab14541642-4k (إزاحة فقط، غير مؤكد)

البناء

make            # uses /opt/android-ndk (or $ANDROID_NDK_HOME)

ينتج selinux_disabler، وهو ملف PIE لمعمارية aarch64 لنظام أندرويد API 35.

الاستخدام

adb push selinux_disabler /data/local/tmp/a/e && chmod 755 /data/local/tmp/a/e
adb shell /data/local/tmp/a/e

تحقق:

adb shell cat /sys/fs/selinux/enforce   # -> 0

إضافة أجهزة

فقط boot.img مطلوب. استخدم أدوات الاستخراج في دليل الأدوات الخاص بالمشروع الأصلي، ثم أضف إدخالًا تحت src/devices/<device>/offsets.h وقم بتضمينه (#include) من src/devices/offsets.h.

الترخيص

لأغراض البحث الأمني المصرح به والتعليم فقط.