asus-i005-cve-2026-43499

CVE-2026-43499 (GhostLock) 在 ASUS ROG Phone 5S (ASUS_I005) 上的适配研究。

结论：漏洞触发与栈回收完整验证；提权链因栈覆盖深度不足而未完成。

具体地：

• Stage 0~1.6 全部验证成功（触发、栈回收、栈地址泄漏）
• Stage 2 的写原语需要覆盖 waiter+0x28..0x40（pi_tree_entry.rb_left 和 lock）
• pselect nfds=320 只覆盖到 waiter+0x27
• 未找到覆盖更深的栈回收载体（已穷尽 40+ 个候选 syscall）
• i005 的所有 KASLR leak 源也全部被堵

详细分析见 docs/05-limitations.md。

TL;DR

Phase	Inhalt	Status
0	UAF-Auslösung (3 Threads + CMP_REQUEUE_PI)	✅
1	pselect timeout=0 Stack-Rückgewinnung (shift=10)	✅
1.6	W-Kernel-Stack-SP-Leak (perf PERF_SAMPLE_REGS_INTR)	✅
2	Schreiben an beliebige Adresse (erfordert KASLR-Slide)	❌
—	KASLR-Leak (alle 8 Quellen fehlgeschlagen)	❌

目标设备

Element	Wert
Gerät	ASUS ROG Phone 5S (ASUS_I005)
SoC	Snapdragon 888 (SM8350)
Android	13
Kernel	5.4.210-qgki-perf-gc89cd02a7dfe arm64
SELinux	Enforcing (u:r🐚s0)
CapEff	0

漏洞概述

CVE-2026-43499 (GhostLock) ist eine Stack-UAF im rtmutex-Subsystem des Linux-Kernels. remove_waiter() verwendet im Rollback-Pfad der Proxy-Sperre current statt waiter->task, wodurch ein hängender Zeiger in task_struct->pi_blocked_on zurückbleibt.

关键成果

1. pselect timeout=0 栈回收（原创）

• pselect timeout>0 → do_select → schedule → hängendes pi_blocked_on wird durchlaufen → Deadlock
• Bei timeout=0 ist end_time=NULL, do_select kehrt sofort zurück, aber _copy_from_user wird dennoch ausgeführt
• nfds=320 → eine Kopie von 40 Bytes → core_sys_select verwendet stack_fds auf dem Stack
• Der Startpunkt von ex fd_set ist genau am Startpunkt des Waiters ausgerichtet → PSELECT_WAITER_WORD_SHIFT = 10

2. W 内核栈地址泄漏

• perf_event_open(pid=W_tid) + PERF_SAMPLE_REGS_INTR(SP)
• IRQ-Stack gefiltert → 41 echte W-Stack-Samples alle identisch
• 16KB-Ausrichtung → sp_top → fake_waiter = sp_top - 0x1b0

3. 阻断面 — i005 加固配置抵抗所有 KASLR leak

见 docs/05-limitations.md：

• kptr_restrict=2
• perf-Hardware zeichnet auf arm64 den EL0→EL1-Vektoreingangs-PC auf (overflow delayed)
• perf_event_open(system-wide/kworker) EACCES
• bpf() EACCES
• /proc/{kallsyms,timer_list,self/stack} EACCES
• /sys/module/*/sections EACCES

目录结构

• docs/ 分析文档与时间线
  • 06-research-snapshot.md 完整研究快照
  • 07-iteration-log.md 失败版本记录
  • disasm/ 关键反汇编片段
  • recon/ 侦察输出
• include/ 符号表 + 结构体偏移
• src/ PoC 源码（详见 src/README.md）
• scripts/ 分析脚本
• logs/ 运行日志（不入 git）

复现

# 1. 提取符号与偏移（需 ASUS 官方内核源码编译出的 vmlinux）
./scripts/extract_symbols.sh
./scripts/gen_symbols_h.sh
./scripts/extract_offsets.sh

# 2. Stage 0 kompilieren
aarch64-linux-gnu-gcc -static -O2 -pthread \
  -o ~/tmp/work/bin/poc_stage0_trigger src/poc_stage0_trigger.c

# 3. Auf dem Gerät ausführen (erfordert adb shell zum Zielgerät)
adb shell /data/local/tmp/poc_stage0_trigger
Toolchain: aarch64-linux-gnu-gcc -static -O2 -pthread

参考

· gitchw/ghostlock-cve-2026-43499        Huawei Watch 4 Pro, 5.4.210 (ARM32)
· ccp-p/ghostlock-cve-2026-43499-4.19-k40  Redmi K40, 4.19.157 (aarch64)
· JoinChang/ghostlock-oneplus              OnePlus mehrere Geräte, Machbarkeit des Stack-Layouts
· knowlily/cve-2026-43499-honor             Honor-Fehleranalyse

免责声明

仅供安全研究。请勿用于未授权设备。