GhostLock — OnePlus 15T

Kernel-Exploit, der auf OnePlus-15T-Geräte mit gesperrtem Bootloader abzielt. Nutzt CVE-2026-43499, um Root-Zugriff zu erlangen, ohne den Bootloader zu entsperren oder boot.img zu verändern.

Nur für autorisierte Sicherheitsforschung und Bildungszwecke.

Geändert aus dem ursprünglichen GhostLock-for-OnePlus-Repository, angepasst an das physische Speicherlayout und CPU-Timing des OnePlus 15T (PLZ110 / SM8850 / Snapdragon 8 Elite).

---

Inhaltsverzeichnis

• Übersicht über die Schwachstelle
• Unterstützte Geräte
• Voraussetzungen
• Erstellung
• Verwendung
• Ausführungsmodi
• Technische Details
• Dateistruktur
• Neue Geräte hinzufügen
• FAQ

---

Übersicht über die Schwachstelle

Punkt	Detail
CVE	CVE-2026-43499
Typ	Futex-PI (Priority Inheritance) Use-After-Free
Betroffen	Linux-Kernel 2.6.39 ~ 7.1
Behoben in	Mainline 7.1 (Commit 3bfdc63936dd)
Android-Status	GKI 6.12.x weiterhin verwundbar

Grundursache

Der Syscall pselect6 kopiert fd_set auf den Kernel-Stack. In Kombination mit dem Futex-PI-Waiter-Mechanismus kann ein freigewordener Stack-Frame als rt_mutex_waiter-Struktur neu zugewiesen werden. Während der PI-Kettendurchläufe schreibt das Rebalancing des rb-Baums kontrollierte Daten an beliebige Kernel-Adressen.

Kette

futex PI UAF (CVE-2026-43499)
  ├─ Forge rt_mutex_waiter object
  ├─ Control kernel stack via pselect/select fd_set layout
  ├─ Trigger rt_mutex PI operation for arbitrary write
  ├─ Write 1: selinux_state.enforcing = 0
  └─ Write 2: cred → init_cred (uid=0, full capabilities)

---

Unterstützte Geräte

Gerät	Codename	SoC	Kernel	Firmware	Status
OnePlus 15T	PLZ110	SM8850 (Snapdragon 8 Elite)	6.12.38-android16-5-g844001fb8721-ab14552068-4k	ColorOS 16.0.9.400	✅ Verifiziert

Für Ace 6T und OnePlus 15 siehe das ursprüngliche Repository.

---

Voraussetzungen

ksud (erforderlich für KernelSU)

GhostLock übernimmt die Privilegieneskalation. Für die KernelSU-Installation wird ksud benötigt (gebündelt mit KMI-spezifischem kernelsu.ko):

Quelle	Hinweise
ReSukiSU APK (empfohlen)	ReSukiSU installieren; das APK enthält libksud.so
CI-Release	Von ReSukiSU CI herunterladen (ksud-aarch64-linux-android.zip)

Ohne ksud erhält der Exploit weiterhin eine Root-Shell mit uid=0, aber KernelSU wird nicht installiert und su bleibt nicht erhalten.

---

Erstellung

Voraussetzungen

• Android-NDK (r25+)
• ANDROID_NDK_HOME oder ANDROID_NDK_ROOT setzen

Erstellen

# Default (API 35)
make

# Specify API level
make API=34

# Specify NDK path
NDK=/path/to/android-ndk make

Artefakt

ghostlock — statisch gelinkte ARM64-ELF-Binärdatei.

---

Verwendung

Einmalige Einrichtung

# 1. Enable ADB TCP mode
adb tcpip 5555

# 2. Push ADB key (required for bootstrap mode)
adb push ~/.android/adbkey /data/local/tmp/a/adbkey

# 3. Push the exploit
adb push ghostlock /data/local/tmp/a/e
adb shell chmod 755 /data/local/tmp/a/e

Nach dem ersten Erfolg setzt resetprop automatisch persist.adb.tcp.port=5555, sodass bei späteren Neustarts vollautomatische Ausführungen möglich sind.

---

Ausführungsmodi

Voller Exploit (ADB-Shell-Kontext)

/data/local/tmp/a/e

• perf verfügbar, präzises Leaken der Child-task_struct
• Zweistufig: W1 SELinux deaktivieren → W2 Privilegieneskalation → KernelSU laden

Bootstrap-Modus (App-Kontext, seccomp eingeschränkt)

/data/local/tmp/a/e --bootstrap

1. Write 1 → SELinux deaktivieren
2. Freigegebene Berechtigungen nutzen, um per setprop ADB TCP 5555 zu aktivieren
3. Eingebauter Mini-ADB-Client verbindet sich mit 127.0.0.1:5555
4. RSA-Authentifizierung mit zuvor übertragenem Schlüssel
5. Vollständige Exploit-Ausführung über die ADB-Shell (ohne seccomp)

Nur Write 1

/data/local/tmp/a/e --write1

• Bis zu 20 Versuche
• Nützlich zum Debuggen oder zum vorübergehenden Deaktivieren von SELinux

---

Technische Details

1. Laufzeit-Kernel-Abgleich

Die Offsets sind in der Nachschlagetabelle src/devices/offsets.h gespeichert, mit uname -r als Schlüssel. Das Programm gleicht beim Start automatisch ab; unbekannte Kernel werden abgelehnt.

static const struct kernel_offsets known_offsets[] = {
  OFFSETS_ENTRY("6.12.38-android16-5-...-ab14275539-4k", ...),
  OFFSETS_ENTRY("6.12.38-android16-5-...-ab14552068-4k", ...),
  OFFSETS_ENTRY("6.12.23-android16-5-...-ab14541642-4k", ...),
  { .uname_r = NULL }  /* sentinel */
};

Offset-Quellen

Typ	Anzahl	Extraktion
Globale kallsyms-Symbole	28	tools/extract_target.py
BTF-Strukturfelder	57	tools/extract_btf.py
Abgeleitete Werte	9	Automatisch berechnet
Feste Konstanten	12	Hartkodiert

BTF-verifizierte Strukturen

Struktur	Felder	Zweck
task_struct	17	Prozessdeskriptor, cred, seccomp
rt_mutex_waiter	6	UAF-Forge-Ziel
cred	4	Anmeldeinformationen, Capabilities
seccomp	3	Seccomp-Filterstatus
pipe_inode_info	11	Pipe-Puffer-Operationen
file_operations	13	Gefälschte fops-Tabelle
mm_struct	1	Speicherdeskriptor-Eigentümer

2. KASLR-Bypass

SLIDE-Modus — boot_id-Leak

Wenn Kernel-Zeiger eingeschränkt sind (kptr_restrict), wird die Basisadresse über eine mit einer Kernel-Adresse überschriebene boot_id geleakt:

Read /proc/sys/kernel/random/boot_id
  └─ UUID contains nfulnl_logger address
      └─ KASLR slide = leaked_addr - image_offset
          └─ kaslr_base

FOPS/CFI-Modus — Leak der fops-Tabelle

Wenn das ashmem-Gerät zugänglich ist, werden die Lese-/Schreib-Primitive von configfs verwendet, um Funktionszeiger aus der ashmem-fops-Tabelle zu lesen und den KASLR-Offset zu berechnen.

3. Kernel-Heap-Spray

Fälscht Kernel-Objekte auf Order-3-Seiten (32 KB):

• Gefälschte file_operations — übernimmt den fops-Zeiger des ashmem-miscdevice
• Gefälschter rt_mutex_waiter — simuliert Waiter-Knoten der PI-Kette
• Gefälschte task_struct — Task-Referenz während des PI-Durchlaufs
• Gefälschter rt_mutex (Sperre) — korrekte Waiter-/Owner-Informationen

Implementiert über SKB (Socket-Buffer) + KernelSnitch:

• KernelSnitch — Futex-Hash-Kollision zum Leaken von mm_struct-Adressen
• SKB-Spray — sendmsg zum Füllen des Kernel-Heaps

4. Physischer Speicherzugriff R/W (Pipe)

Nach Erhalt der KASLR-Basis werden Pipe-Puffer für den Speicherzugriff auf physischer Ebene verwendet:

1. Locate pipe buffer in physmap
2. Forge pipe_buffer ops table pointing to known pipe_buf_ops
3. Hijack pipe_buffer.page to target physical address
4. Arbitrary physical read/write via normal pipe operations

Unterstützt: pipe_read64, pipe_write64, pipe_phys_read_data, pipe_phys_write_data

5. Zweistufiger Write

Write 1 — SELinux deaktivieren

Target: selinux_state.enforcing (offset 0x00)
Method: child-node PI write → forge waiter __rb_parent_color
        pointing to selinux_enforcing - 8
        rb-tree rebalance writes 0x00

Write 2 — Root-Eskalation