CVE-2026-43499 (GhostLock) — CVE-2026-43499 Schwachstellen-Anpassungsforschungsarchiv

Gerät: OPPO PKP110 (OP5DF3) · Kernel 6.1.134-android14-11-o · Android 16 (SDK 36) Untersuchungszeitraum: 2026-08-20 ~ 2026-08-22

Endgültige Schlussfolgerung

CVE-2026-43499 kann in der gehärteten Umgebung 6.1 GKI + Android 14/15/16 nicht zu einer Exploit-Kette konvergieren.

Kernursache: Die PI-Kette durchläuft nicht die Spray-Seite (unabhängig verifiziert durch die iQOO Neo9s PRO-Studie)

• Der von futex_wait_requeue_pi erzeugte rt_mutex_waiter liegt auf dem Kernel-Stack
• pi_blocked_on zeigt auf ein kernelintern alloziertes rt_mutex
• Die von KernelSnitch gesprayten fake waiter/lock nehmen nicht an der PI-Ketten-Traversierung teil
• Dadurch schreibt rb_erase nicht in das vom Angreifer kontrollierte Ziel (boot_id usw.)

Anpassungsergebnisse

Punkt	Ergebnis
Struktur-Offsets	✅ Alle BTF-Verifikationen korrekt
setpriority als Ersatz für sched_setattr	✅ Umgeht SELinux-Blockade, kein Absturz mehr
Vollständige Kette läuft durch	✅ KernelSnitch + SKB-Heap-Spray + punch-Trigger (calls=1)
boot_id-Indirektionskorrektur	✅ 0x2139958 → 0x237e188
perf_event_open	❌ Von SELinux blockiert (EACCES)
pselect-Überschreibung	❌ Erreicht den waiter auf 6.1 GKI nicht

Alle drei KASLR-Leak-Routen sind blockiert, die Privilegieneskalationskette kann nicht konvergieren.

Dateibeschreibung

Datei	Beschreibung
target-OPPO-PKP110.h	OPPO-spezifische target.h (BTF-verifizierte Offsets)
symbols-OPPO.txt	Vollständige Symboltabelle des OPPO-Kernels (110432 Symbole)
structs-OPPO.h	BTF-Strukturdefinitionen des OPPO-Kernels
preload-tokay-PKP110.so	tokay-Quellcode + OPPO-Offset-Kompilat
ghostlock-PKP110	ghostlock-oneplus + OPPO-Offset-Kompilat
perf_leak_test.c	perf-Leak-Test (verifiziert die SELinux-Blockade)

Änderungsprotokoll

generate_target.py (6 Änderungen)

• locate_markers: Rückfallsuche im gesamten Bereich
• locate_u32_offset_table: Rückfallsuche
• BTF-Typen mit gleichem Namen: strikte Äquivalenz → Auswahl des ersten
• rt_waiter_node → rt_mutex_waiter direktes Feld
• futex-Stackframe-Validierung übersprungen
• FAKE_WAITER_* hartcodierte tokay-Verifikationswerte

slide.c (3 Änderungen)

• open_slide_selected_fds: fd 0-2 überspringen (verhindert dup2-Überschreibung von stdout)
• pr_dbg_file hinzugefügt für synchrones Schreiben auf Datenträger
• sched_setattr_tid: setpriority-Route hinzugefügt (umgeht SELinux)

target.h

• Alle Offsets durch OPPO-BTF-verifizierte Werte ersetzt

Referenzen

Unabhängige Untersuchungen zu iQOO Neo9s PRO / iQOO Z10x / vivo X Fold5 kommen zu demselben Ergebnis.

Zukünftige Richtungen

• Herstellerspezifische Treiber-Schwachstellen (GPU/ISP/VPU)
• CVE-2026-64560 (erfordert Heap-Feng-Shui + KASLR)
• Warten auf neue CVEs, die nach 2026-03 veröffentlicht werden

---

Archiviert am 2026-08-22 · 52 MB vollständiges Forschungspaket im Release