Logitech G Cloud · Intento de root CVE-2026-43499 GhostLock

Logitech G Cloud — Intento de Root CVE-2026-43499 (GhostLock)

⚠️ Solo con fines de investigación y defensa de seguridad / Solo para fines de investigación y defensa

Todo el contenido de este repositorio es generado por DeepSeek AI, solo para investigación de seguridad, análisis de vulnerabilidades y evaluación de seguridad defensiva. Todo el contenido de este repositorio es generado por DeepSeek AI, solo para investigación de seguridad, análisis de vulnerabilidades y evaluación de seguridad defensiva.

---

Estado / Estado

La cadena de explotación estándar NO es aplicable / La cadena de explotación estándar NO es aplicable

La vulnerabilidad CVE-2026-43499 existe y es alcanzable mediante una carrera futex PI (EDEADLK confirmado), pero Qualcomm reescribió el código central de rtmutex (rbtree → bitmap/lista enlazada). La primitiva de escritura estándar de IonStack (escritura restringida de rb_erase) no existe en este kernel.

La vulnerabilidad CVE-2026-43499 existe y es alcanzable mediante una carrera futex PI (EDEADLK confirmado), pero Qualcomm reescribió el código central de rtmutex (rbtree → bitmap/lista enlazada). La primitiva de escritura estándar de IonStack (escritura restringida de rb_erase) no existe en este kernel.

---

Información del dispositivo / Información del dispositivo

Elemento / Elemento	Valor / Valor
Modelo / Modelo	Logitech G Cloud (HALO)
Versión de firmware / Versión de firmware	SQ02K.60.0228 (2025-08-27)
SoC	Qualcomm Snapdragon 720G (SM7125, ATOLL)
GPU	Adreno 618 (700MHz)
CPU	Kryo 465: 2×Cortex-A76 @2.3GHz + 6×Cortex-A55 @1.8GHz
Proceso / Proceso	8nm
RAM / RAM	4GB LPDDR4X
Almacenamiento / Almacenamiento	64GB UFS
Pantalla / Pantalla	7-inch IPS LCD, 1920×1080, 60Hz
Batería / Batería	6000mAh
Conectividad / Conectividad	Wi-Fi 5, Bluetooth 5.1, USB-C 3.1
Kernel / Kernel	Linux 4.14.190-perf+ (Clang 10.0.7, GNU ld 2.27)
Compilación del kernel / Compilación del kernel	scm@a9b0f71b66dc, SMP PREEMPT, 2025-08-27
Base del kernel / Base del kernel	Qualcomm LA.UM.9.1.r1-09200-SMxxx0.0
Versión de Android / Versión de Android	Android 11 (API 31)
Compilado por / Compilado por	Tencent Level Infinite (sistema de compilación Zing)
Bootloader / Bootloader	Bloqueado / Bloqueado, avb=vbmeta, dm-verity activado
KASLR	Activado (se puede eludir mediante perf_event_open) / Activado (se puede eludir)
Protecciones del kernel / Protecciones del kernel	KPTI ✅ / PAN ✅ / SCS ❌ / CFI ❌ / PAC ❌
SELinux	Enforcing
ID de hardware / ID de hardware	GR0006 (Logitech HALO CN)
Socio de software / Socio de software	Logitech (hardware) + Tencent Games (software)

---

Descarga de firmware / Descarga de firmware

📥 Enlace de descarga en Mega.nz / Enlace de descarga： [https://mega.nz/folder/I2MUkQyD#n6bG8gzsjqKNdpk8napniQ]

Archivos incluidos / Archivos incluidos:

• Logitech-HALO_CN-SQ02K.60.0228-USER.zip — Firmware completo (1.37 GB)
• boot.img — Imagen de boot completa (64 MB)
• kernel — Kernel ARM64 sin comprimir (35 MB)
• kernel.gz — Kernel comprimido (15 MB)
• ramdisk — Ramdisk de arranque (87 KB)
• config.txt — Configuración completa de compilación del kernel (61 KB)

---

Estructura del repositorio / Estructura del repositorio

GhostLock-SD720G-CVE-2026-43499/
├── exploit/              # Código fuente y binarios de explotación del kernel / Kernel exploit source & binaries
│   ├── sd720g_exploit.c       # Programa de explotación principal (disparo de carrera + KASLR + logs) / Main exploit
│   ├── sd720g_exploit         # Binario ARM64 compilado (2.1 MB) / Compiled binary
│   ├── target_sd720g.h        # Desplazamientos de símbolos principales (12 funciones) / Core symbol offsets
│   ├── target_sd720g_complete.h  # Tabla completa de 37 símbolos / Full symbol table
│   ├── perf_leak_sd720g.c     # Herramienta de fuga de base KASLR / KASLR base leak
│   ├── perf_leak              # Binario compilado (2.1 MB) / Compiled binary
│   └── compile_perf_leak.bat  # Script de compilación NDK / NDK build script
│
├── preload/              # Biblioteca compartida LD_PRELOAD / Shared library
│   ├── sd720g_preload.c      # Exploit basado en constructor automático / Constructor-based exploit
│   ├── arm.so                # ARM64 .so compilado (16 KB)
│   └── compile_preload.bat   # Script de compilación / Build script
│
├── tools/                # Scripts de análisis y extracción / Analysis & extraction scripts
│   ├── extract_kallsyms.py   # Analizador kallsyms en Python puro (consciente de PIE) / kallsyms parser
│   ├── extract_symbols.py    # Extractor de desplazamientos de símbolos / Symbol offset extractor
│   ├── find_ghostlock_bug.py # Búsqueda binaria de patrón pi_blocked_on=NULL / Bug pattern search
│   ├── reanalysis.py         # Traza de cadena de llamadas de 0x105aeb0 y rb_erase / Call chain trace
│   ├── trace_waiter.py       # Búsqueda de escrituras de campo rt_mutex_waiter / Field write search
│   ├── analyze_pi_state.py   # Análisis del ciclo de vida de asignación/liberación de pi_state / Lifecycle analysis
│   └── kgsl_uaf_test.c       # Prueba de disparo de UAF de GPU KGSL / GPU UAF trigger test
│
├── docs/                 # Documentos de análisis completos / Analysis documents
│   ├── CVE2026-43499_SD720G_分析.md        # Informe de análisis completo (chino) / Full analysis report
│   ├── GHOSTLOCK_SD720G_PORT_RECORD.md     # Registro de portabilidad y hallazgos / Porting record
│   ├── CVE2026-43499_SD720G_参考数据汇总.md  # Datos de referencia y tabla de símbolos / Reference data
│   ├── ALTERNATIVE_STRATEGY.md             # Rutas de ataque alternativas / Alternative paths
│   ├── HEAP_ANALYSIS.md                    # Ciclo de vida del montón / pi_state / Heap lifecycle
│   ├── STACK_ANALYSIS.md                   # Viabilidad de recuperación de pila / Stack reclaim feasibility
│   ├── WRITE_PRIMITIVE.md                  # Investigación de primitivas de escritura / Write primitive research
│   ├── BOOT_ANALYSIS.md                    # Estructura de la imagen de arranque / Boot image structure
│   └── FINAL_ANALYSIS.md                   # Conclusiones finales / Final conclusions

---

Hallazgos clave / Hallazgos clave

✅ Confirmados funcionales / Confirmados funcionales

Elemento / Elemento	Nota / Nota
Fuga de KASLR / Fuga de KASLR	perf_event_open funciona con PERF_TYPE_SOFTWARE (paranoid=-1)
Carrera Futex PI / Carrera	EDEADLK (errno=35) confirma que la ruta de interbloqueo es alcanzable
Extracción de símbolos / Extracción de símbolos	Se extrajeron 37 símbolos de kallsyms (incluyendo commit_creds, prepare_kernel_cred, init_task, etc.)
Carga LD_PRELOAD / Carga	arm.so compilado correctamente, se puede cargar y ejecutar en el dispositivo

❌ Bloqueos / Bloqueos

Elemento / Elemento	Razón / Razón
RT Mutex de bitmap de Qualcomm	rt_mutex_adjust_prio_chain usa cola de prioridad bitmap en lugar de rbtree estándar
Sin Waiter en pila	remove_waiter tiene solo 0x30 (48 bytes), sin struct rt_mutex_waiter local
Código muerto / Código muerto	remove_waiter (0xCEAA0) no tiene invocadores directos en el binario del kernel
Sin cadena rb_erase	0x105aeb0 es una función de operación de ring buffer, no rb_erase
Ciclo de vida de pi_state	Usa refcount+RCU en lugar de kfree directo, diferente de Linux estándar
Big.LITTLE	La fuga de mm_struct de KernelSnitch falla en CPU heterogéneas A76+A53
CONFIG_CRYPTO_USER_API_AEAD	No habilitado — CVE-2026-31431 (Copy Fail) no explotable

📝 Conclusión / Conclusión