oppo-ghostlock

GhostLock CVE-2026-43499 — Investigación de escalada de privilegios del kernel de Linux en OPPO Find N2

Resumen del proyecto

GhostLock (CVE-2026-43499) es una vulnerabilidad UAF en la pila del kernel que afecta a Linux 2.6.39 hasta 7.1-rc1, desencadenada mediante una condición de carrera en FUTEX_CMP_REQUEUE_PI. Este proyecto adapta el exploit x86_64 de NebuSec/CyberMeowfia al OPPO Find N2 (ARM64, kernel 5.10.236).

Estado del proyecto

En iteración — Varias fases de explotación ya se han validado, pero el bloqueo principal (bypass de CFI / primitiva de escritura en el kernel) aún no se ha superado.

Características principales

• Exploit de Firefox CVE-2026-10702 — confusión de tipos en SpiderMonkey → AAW
• Fuga de mm_struct mediante KernelSnitch — el timing del hash de futex filtra direcciones del kernel
• Disparo de FUTEX de GhostLock — FUTEX_CMP_REQUEUE_PI ret=0
• sk_buff heap spray — envíos 4/4 exitosos
• PR #13 bypass de KASLR — cálculo directo de kaslr_base
• Verificación exhaustiva de offsets con IDA Pro — 70+ offsets del kernel validados

Inicio rápido

Requisitos del entorno

• macOS / Linux (requiere Android NDK)
• Android NDK r29
• Dispositivo OPPO Find N2

Compilación y despliegue

# 1. Clonar el repositorio
git clone https://github.com/pubglite55/oppo-ghostlock.git
cd oppo-ghostlock

# 2. Establecer la ruta del NDK
export NDK=/usr/local/Caskroom/android-ndk/29/AndroidNDK14206865.app/Contents/NDK

# 3. Compilar el exploit
cd exploit/
make clean && make NDK=$NDK

# 4. Enviar al dispositivo
adb push preload.so /data/local/tmp/

# 5. Ejecutar
adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/ls /dev/null' 2>&1

Estructura del repositorio

oppo-ghostlock/
├── exploit/
│   ├── src/
│   │   ├── main.c              # 主入口，GhostLock 触发
│   │   ├── fops.c              # pselect fake lock + kernel base leak
│   │   ├── pipe.c              # pipe 物理读写
│   │   ├── root.c              # root 提权
│   │   ├── util.c              # 工具函数
│   │   └── kernelsnitch/       # mm_struct 泄漏
│   ├── targets/                # 设备偏移定义
│   └── Makefile
└── README.md

Información del dispositivo

• Teléfono: OPPO Find N2, serial=84cb96e2
• Kernel: 5.10.236-android12-9-o-g74d132f4467a
• Build: OPPO/CPH2413/CPH2413:16/UP1A.231005.007/V16.0.12.0.UNFCNXM:user/release-keys
• CONFIG_FUTEX_PI=y
• CONFIG_UNMAP_KERNEL_AT_EL0=y (KPTI habilitado)
• kptr_restrict aplicado

Bloqueos principales

1. pselect no puede manipular la estructura waiter — cuando NFDS > 336, fd_set se encuentra en el heap
2. configfs/ashmem no son compatibles — ashmem SET_NAME se trunca
3. Todas las demás rutas de escritura al kernel están bloqueadas — /proc/self/mem, /dev/mem, binder

Licencia

Este proyecto está bajo la licencia MIT.

Agradecimientos

• NebuSec/CyberMeowfia — implementación original del exploit GhostLock
• NebuSec IonStack Writeup — análisis técnico de GhostLock
• Dere3046/ElevateMe — mecanismo de sobrescritura de cred mediante rb_erase