CVE-2026-43499 (GhostLock) — Investigación de escalada de privilegios en Honor BVL-AN16

Investigación y archivo de la escalada de privilegios de CVE-2026-43499 (GhostLock, stack-UAF de rt_mutex) para Honor Magic6 Pro (BVL-AN16).

Dispositivo

Conclusiones de la investigación

Este repositorio documenta el proceso completo de intento de explotación de CVE-2026-43499 en Honor BVL-AN16 y las conclusiones parciales:

1. Cadena de explotación oficial de GhostLock (consulta el writeup de NebuSec) depende de la reutilización de la pila con PR_SET_MM_MAP, pero Honor adelantó la comprobación de capable(CAP_SYS_RESOURCE) en prctl_set_mm, lo que hace que esta vía no esté disponible.
2. Vectores alternativos de reutilización de pila (pselect / TCP / kgsl / setsockopt / process_vm): tras verificar el delta uno a uno mediante desensamblado preciso, con la disposición de marcos de pila de Honor (CONFIG_RANDOMIZE_KSTACK_OFFSET=y) ninguno pudo alinear el waiter (profundidad 0x1a8).
3. Vía de heap spray (reutilización de skb heads con slab de orden 3 de mm_struct) está condicionada por la imposibilidad de observar el estado en tiempo de ejecución de SLUB; las 6 hipótesis de ajuste a ciegas puramente por software fueron descartadas.
4. Módulos propios de Honor (36 módulos vendor_dlkm) analizados por desensamblado: no se encontraron desbordamientos de 32 bits ni vulnerabilidades de seguridad de memoria explotables (Android 16 habilita completamente FORTIFY + KCFI).

Estructura de directorios

.
├── README.md              本文件
├── LICENSE                Apache 2.0（exploit 源码来源仓库）
├── docs/                  分析文档与进展存档
├── scripts/               反汇编 / 分析脚本（123 个，capstone 读 kernel.bin）
├── disasm/                关键函数反汇编产物
├── scan/                  模块扫描结果（攻击面 / 32 位溢出）
├── exploit/               CVE-2026-43499 exploit 源码（含 honor-BVL-AN16 适配）
│   ├── exploit/
│   └── poc/
├── keytest.c              add_key 可用性测试
└── xattrtest.c            setxattr 大小测试

Resumen de hallazgos clave

• honor_power_genl.ko (bus de mensajes de energía generic netlink) no tiene desbordamiento de 32 bits, pero tiene la barrera de control de acceso snd_portid == nl_target.
• El delta de reutilización de pila de kgsl se calculó con precisión como +0x30, pero kgsl_ioctl_copy_in tiene un máximo de 72B, insuficiente para cubrir el campo lock del fake waiter.
• add_key (keyctl spray) está bloqueado por SELinux: avc denied {write} tclass=key.
• setxattr tiene un máximo de 4096 bytes (límite de xattr en ext4/f2fs), por lo que no se puede hacer spray de orden 3.
• Dirección futura: se confirmó que CVE-2026-64560 (UAF en posix-cpu-timers) afecta a 6.1.128 (≤6.1.179) y hay un exploit completo que se puede adaptar.

Atribución

• El código fuente del exploit proviene de NebuSec/CyberMeowfia (Apache 2.0).
• El análisis de la vulnerabilidad GhostLock se encuentra en Nebula Security — IonStack Part II.

Descargo de responsabilidad

Este repositorio es únicamente para investigación y aprendizaje de seguridad. No lo uses en dispositivos no autorizados. Ejecutar el exploit puede provocar que el dispositivo se bloquee (brick), corrupción de datos o inestabilidad del sistema.