GhostLock — Jailbreak de Bootloader Bloqueado

Exploit de kernel para dispositivos Android con bootloader bloqueado. Logra root temporal + instalación de KernelSU sin desbloquear el bootloader ni modificar la imagen de arranque. Detección automática en tiempo de ejecución de la versión del kernel con tabla de offsets multi-dispositivo.

Vulnerabilidad

CVE-2026-43499 — Futex PI (Priority Inheritance) Use-After-Free

Afecta al kernel de Linux 5.7 ~ 7.1. Corregido en las versiones estables 6.1.175, 6.6.140, 6.12.86. La mayoría de los dispositivos Android permanecen sin parchear a septiembre de 2026.

La llamada al sistema pselect6 copia datos de fd_set en la pila del kernel. Cuando se combina con el mecanismo de espera futex PI, un marco de pila liberado puede ser reclamado como una estructura rt_mutex_waiter. El rebalanceo del rb-tree durante el recorrido de la cadena PI escribe entonces valores controlados en direcciones arbitrarias del kernel.

Dispositivos Soportados

Verificados Funcionando

Offsets Extraídos (pendiente de prueba en dispositivo)

No Factibles

La superposición de pila de pselect requiere que el rt_mutex_waiter liberado aterrice dentro de la región stack_fds controlable por el usuario (words 0–14). Dónde aterriza está determinado por los perfiles PGO/LTO del compilador, no por la versión del kernel. Ver Diseño de la Pila.

Nota sobre factibilidad en 6.1: Los kernels OPLUS 6.1 son consistentemente no factibles debido a que PGO inlinea do_futex. Sin embargo, algunos kernels no-OPLUS 6.1 (vivo) conservan la cadena de llamadas estándar y son factibles (vivo T4, X Fold3 Pro). La factibilidad debe comprobarse por dispositivo.

Flujo del Exploit

Dos rutas de root, seleccionadas automáticamente según las capacidades del dispositivo:

Ruta A: Root UMH (preferida, dispositivos C ashmem)

Requiere off_ashmem_misc_fops != 0 (C ashmem con miscdevice estático en BSS).

Escritura PI (modo=4)  →  redirigir fops de miscdevice a fops falsos
                   →  r/w configfs → physrw de tubería (r/w de kernel preciso de 1 byte)
                   →  SELinux enforcing = 0 (byte único, sin corrupción de policycap)
                   →  UMH: inyectar work_struct en system_unbound_wq
                   →  script de root → carga tardía de ksud → KSU instalado

Disponible en: OnePlus 13, OPPO Pad 4 Pro, dispositivos C ashmem 5.10/6.1. No disponible en Rust ashmem (GKI 6.12) — miscdevice asignado en heap.

Ruta B: Escritura PI Directa (respaldo)

Escritura 1 (modo=1)  →  SELinux enforcing = 0 (escritura de 8 bytes, corrompe bytes adyacentes)
Escritura 2 (modo=2)  →  task->cred = init_cred (uid=0, todas las capacidades)
Shell de root         →  carga tardía de ksud → KSU → corrección de política SELinux

Después de W1+W2, el exploit parchea el campo de configuración del binario de política SELinux (|= 0xC0000000 para ANDROID_NETLINK_ROUTE + GETNEIGH) y lo recarga vía /sys/fs/selinux/load para restaurar la conectividad de red.

Modo Bootstrap (teléfono independiente)

App (seccomp)  →  Escritura 1 → mini-adb TCP → adb shell: exploit completo → root

Arranque Automático

El lanzador de arranque lo proporciona la aplicación separada GhostLock Anchor.

Diseño de la Pila — Factibilidad

Con NFDS=320, core_sys_select asigna un buffer stack_fds de 256 bytes en la pila del kernel:

stack_fds:  0    5    10   14 | 15   20   25   29
            ├─in─┤─out─┤─ex──┤ ├res_in┤res_out┤res_ex┤
            ◄── CONTROLADO POR USUARIO ──►│◄── CERO DEL KERNEL ──►

El exploit coloca campos falsos de waiter (task, lock) en los mapas de bits de entrada de fd_set. Para waiter anidado 6.12 (14 words): word de waiter máxima factible = 3. Para waiter compacto 5.10/6.1 (10 words): word de waiter máxima factible = 7.

La posición del waiter depende de la profundidad de la cadena de llamadas:

kernel_phys_load

Todas las escrituras al kernel usan el alias de mapa lineal. El bootloader elige kernel_phys_load, que varía según el SoC:

Un valor incorrecto falla silenciosamente. Léelo en una unidad con root:

su -c 'grep -i "Kernel code" /proc/iomem'   # c7810000-... → 0xc7800000

Anulación en tiempo de ejecución: KPHYS=0xc7800000 /data/local/tmp/a/e

PSELECT_SHIFT

/data/local/tmp/a/e                        # Predeterminado (shift=0)
PSELECT_SHIFT=-2 /data/local/tmp/a/e       # OnePlus 13 (6.6)

KIMAGE_TEXT_BASE

Los kernels 5.10 usan 0xffffffc008000000 (VA_BITS=39, diferente del valor predeterminado 6.x 0xffffffc080000000). Esto se maneja automáticamente mediante el campo kimage_text_base en la entrada de offsets del dispositivo.

Compilación

make NDK_ROOT=/ruta/al/android-ndk

O directamente:

NDK=/ruta/al/android-ndk
"$NDK/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android35-clang" \
  -O2 -Wall -Isrc/core -Isrc/devices -DTARGET_CONFIG_H=\"target.h\" \
  src/core/main.c src/core/util.c src/core/slide.c \
  src/core/fops.c src/core/pipe_physrw.c src/core/root.c \
  src/core/miniadb.c src/core/umh_root.c \
  -o ./ghostlock -fPIE -pie -pthread

Requisitos Previos

ksud (requerido para la instalación de KSU)

GhostLock proporciona root temporal. La instalación de KernelSU requiere ksud, que incluye kernelsu.ko para cada versión de KMI.

Configuración

adb shell mkdir -p /data/local/tmp/a
adb push ./ghostlock /data/local/tmp/a/e
adb shell chmod 755 /data/local/tmp/a/e
adb shell /data/local/tmp/a/e

Ejecutar después de que el arranque se complete y ADB esté listo.

Añadir Nuevos Dispositivos

Solo se necesita boot.img — sin root, sin acceso al dispositivo.

1. Extraer kernel y kallsyms

Consulta la guía de herramientas kallsyms para el flujo de trabajo completo, o:

python tools/extract_target.py --kallsyms kallsyms.txt
python tools/extract_btf.py kernel

2. Determinar la factibilidad

Comprueba si do_futex está inlineado por PGO buscando en el binario del kernel todas las instrucciones de salto dirigidas a futex_wait_requeue_pi. Si __arm64_sys_futex lo llama directamente (omitiendo do_futex), es probable que el dispositivo no sea factible.

3. Crear la entrada del dispositivo

Añade src/devices/<nombre>/offsets.h con los offsets extraídos e inclúyelo en src/devices/offsets.h. Usa la macro de offsets de estructura apropiada:

Para dispositivos con waiter compacto 5.10/6.1, también establece .kimage_text_base=0xffffffc008000000ULL.

Archivos

Licencia

Solo para investigación de seguridad autorizada y fines educativos.