oppofindN2-ghostlock

GhostLock CVE-2026-43499 — OPPO Find N2 Linux-Kernel-Privilegieneskalation-Forschung

Projektübersicht

GhostLock (CVE-2026-43499) ist eine Kernel-Stack-UAF-Schwachstelle, die Linux 2.6.39 bis 7.1-rc1 betrifft und durch eine Race Condition in FUTEX_CMP_REQUEUE_PI ausgelöst wird. Dieses Projekt portiert den x86_64-Exploit von NebuSec/CyberMeowfia auf das OPPO Find N2 (ARM64, Kernel 5.10.236).

Projektstatus

In Iteration — Mehrere Exploit-Phasen wurden erfolgreich verifiziert, aber der zentrale Blockierungspunkt (CFI-Bypass / Kernel-Schreibprimitive) wurde noch nicht durchbrochen.

Kernfunktionen

• Firefox CVE-2026-10702 Exploit — SpiderMonkey Type Confusion → AAW
• KernelSnitch mm_struct-Leak — futex Hash-Timing leakt Kernel-Adressen
• GhostLock FUTEX-Auslösung — FUTEX_CMP_REQUEUE_PI ret=0
• sk_buff Heap-Spray — 4/4 send erfolgreich
• PR #13 KASLR-Bypass — direkte Berechnung von kaslr_base
• IDA Pro vollständige Offset-Verifikation — 70+ Kernel-Offsets verifiziert

Schnellstart

Umgebungsanforderungen

• macOS / Linux (Android NDK erforderlich)
• Android NDK r29
• OPPO Find N2 Gerät

Kompilieren und Bereitstellen

1. Repository klonen

git clone https://github.com/pubglite55/oppofindN2-ghostlock.git
cd oppofindN2-ghostlock

2. NDK-Pfad setzen

export NDK=/usr/local/Caskroom/android-ndk/29/AndroidNDK14206865.app/Contents/NDK

3. Exploit kompilieren

cd exploit/
make clean && make NDK=$NDK

4. Auf das Gerät übertragen

adb push preload.so /data/local/tmp/

5. Ausführen

adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/ls /dev/null' 2>&1

Repository-Struktur

oppofindN2-ghostlock/
├── exploit/
│   ├── src/
│   │   ├── main.c              # Haupteinstieg, GhostLock-Auslösung
│   │   ├── fops.c              # pselect fake lock + kernel base leak
│   │   ├── pipe.c              # pipe physisches Lesen/Schreiben
│   │   ├── root.c              # root-Privilegieneskalation
│   │   ├── util.c              # Hilfsfunktionen
│   │   └── kernelsnitch/       # mm_struct-Leak
│   ├── targets/                # Geräte-Offset-Definitionen
│   └── Makefile
└── README.md

Geräteinformationen

• Phone: OPPO Find N2, serial=84cb96e2
• Kernel: 5.10.236-android12-9-o-g74d132f4467a
• Build: OPPO/CPH2413/CPH2413:16/UP1A.231005.007/V16.0.12.0.UNFCNXM:user/release-keys
• CONFIG_FUTEX_PI=y
• CONFIG_UNMAP_KERNEL_AT_EL0=y (KPTI aktiviert)
• kptr_restrict enforced

Zentrale Blockierung

1. pselect kann die waiter-Struktur nicht manipulieren — bei NFDS > 336 liegt fd_set auf dem Heap
2. configfs/ashmem nicht unterstützt — ashmem SET_NAME wird abgeschnitten
3. Alle anderen Kernel-Schreibpfade blockiert — /proc/self/mem, /dev/mem, binder

Lizenz

Dieses Projekt steht unter der MIT-Lizenz.

Danksagungen

• NebuSec/CyberMeowfia — Originalimplementierung des GhostLock-Exploits
• NebuSec IonStack Writeup — Technische Analyse von GhostLock
• Dere3046/ElevateMe — rb_erase cred-Überschreibungsmechanismus