oppofindN2-ghostlock

GhostLock CVE-2026-43499 — بحث رفع الصلاحيات في نواة Linux على OPPO Find N2

نظرة عامة على المشروع

GhostLock (CVE-2026-43499) هو ثغرة UAF في مكدس النواة تؤثر على Linux من الإصدار 2.6.39 حتى 7.1-rc1، ويتم تفعيلها عبر حالة تسابق في FUTEX_CMP_REQUEUE_PI. يقوم هذا المشروع بتكييف exploit الخاص بـ NebuSec/CyberMeowfia لمعمارية x86_64 ليعمل على OPPO Find N2 (ARM64، نواة 5.10.236).

حالة المشروع

قيد التطوير التكراري — تم التحقق من نجاح عدة مراحل من الاستغلال، لكن نقطة الانسداد الأساسية (تجاوز CFI / بدائية الكتابة في النواة) لم يتم اختراقها بعد.

الميزات الأساسية

• exploit الخاص بـ Firefox CVE-2026-10702 — SpiderMonkey type confusion → AAW
• تسريب mm_struct عبر KernelSnitch — تسريب عناوين النواة عبر futex hash timing
• تفعيل GhostLock FUTEX — FUTEX_CMP_REQUEUE_PI ret=0
• رشّ كومة sk_buff — نجاح 4/4 في الإرسال
• تجاوز KASLR عبر PR #13 — حساب kaslr_base مباشرةً
• التحقق الكامل من الإزاحات عبر IDA Pro — تم التحقق من أكثر من 70 إزاحة في النواة

البدء السريع

المتطلبات

• macOS / Linux (يتطلب Android NDK)
• Android NDK r29
• جهاز OPPO Find N2

البناء والنشر

1. استنساخ المستودع

git clone https://github.com/pubglite55/oppofindN2-ghostlock.git
cd oppofindN2-ghostlock

2. تعيين مسار NDK

export NDK=/usr/local/Caskroom/android-ndk/29/AndroidNDK14206865.app/Contents/NDK

3. بناء exploit

cd exploit/
make clean && make NDK=$NDK

4. دفعه إلى الجهاز

adb push preload.so /data/local/tmp/

5. التشغيل

adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/ls /dev/null' 2>&1

هيكل المستودع

oppofindN2-ghostlock/
├── exploit/
│   ├── src/
│   │   ├── main.c              # نقطة الدخول الرئيسية، تفعيل GhostLock
│   │   ├── fops.c              # pselect fake lock + تسريب قاعدة النواة
│   │   ├── pipe.c              # القراءة والكتابة الفيزيائية عبر pipe
│   │   ├── root.c              # رفع الصلاحيات إلى root
│   │   ├── util.c              # دوال مساعدة
│   │   └── kernelsnitch/       # تسريب mm_struct
│   ├── targets/                # تعريفات إزاحات الجهاز
│   └── Makefile
└── README.md

معلومات الجهاز

• Phone: OPPO Find N2, serial=84cb96e2
• Kernel: 5.10.236-android12-9-o-g74d132f4467a
• Build: OPPO/CPH2413/CPH2413:16/UP1A.231005.007/V16.0.12.0.UNFCNXM:user/release-keys
• CONFIG_FUTEX_PI=y
• CONFIG_UNMAP_KERNEL_AT_EL0=y (KPTI enabled)
• kptr_restrict enforced

نقاط الانسداد الأساسية

1. pselect لا يستطيع التلاعب ببنية waiter — عندما NFDS > 336 يكون fd_set على الكومة
2. configfs/ashmem غير مدعوم — يتم قطع ashmem SET_NAME
3. جميع مسارات الكتابة الأخرى في النواة مسدودة — /proc/self/mem, /dev/mem, binder

الترخيص

يستخدم هذا المشروع رخصة MIT.

شكر وتقدير

• NebuSec/CyberMeowfia — التنفيذ الأصلي لـ GhostLock exploit
• NebuSec IonStack Writeup — التحليل التقني لـ GhostLock
• Dere3046/ElevateMe — آلية الكتابة فوق cred عبر rb_erase