CVE-2026-43499 (GhostLock) — Archivo de investigación de adaptación de la vulnerabilidad CVE-2026-43499

Dispositivo: OPPO PKP110 (OP5DF3) · Núcleo 6.1.134-android14-11-o · Android 16 (SDK 36) Periodo de investigación: 2026-08-20 ~ 2026-08-22

Conclusión final

La cadena de explotación de CVE-2026-43499 no puede converger en el entorno reforzado 6.1 GKI + Android 14/15/16.

Causa principal de la muerte: la cadena PI no pasa por la página de pulverización (investigación de iQOO Neo9s PRO verificada de forma independiente)

• El rt_mutex_waiter creado por futex_wait_requeue_pi está en la pila del kernel
• pi_blocked_on apunta a un rt_mutex asignado internamente en el kernel
• El fake waiter/lock pulverizado por KernelSnitch no participa en el recorrido de la cadena PI
• Esto provoca que rb_erase no pueda escribir en el objetivo controlado por el atacante (boot_id, etc.)

Resultados de la adaptación

Elemento	Resultado
Desplazamientos de estructuras	✅ Todos verificados correctamente con BTF
setpriority en lugar de sched_setattr	✅ Resuelve el bloqueo de SELinux, ya no se bloquea
Cadena completa funcionando	✅ KernelSnitch + pulverización de montículo SKB + activación por punch (calls=1)
Corrección de direccionamiento indirecto de boot_id	✅ 0x2139958 → 0x237e188
perf_event_open	❌ Bloqueado por SELinux (EACCES)
Cobertura de pselect	❌ No alcanza el waiter en 6.1 GKI

Las tres rutas de filtración de KASLR están completamente bloqueadas; la cadena de escalada de privilegios no puede converger.

Descripción de los archivos

Archivo	Descripción
target-OPPO-PKP110.h	target.h exclusivo de OPPO (desplazamientos verificados con BTF)
symbols-OPPO.txt	Tabla de símbolos completa del kernel de OPPO (110432 símbolos)
structs-OPPO.h	Definiciones de estructuras BTF del kernel de OPPO
preload-tokay-PKP110.so	Código fuente de tokay + producto compilado con desplazamientos de OPPO
ghostlock-PKP110	ghostlock-oneplus + producto compilado con desplazamientos de OPPO
perf_leak_test.c	Prueba de fuga de perf (verifica el bloqueo por SELinux)

Registro de cambios

generate_target.py (6 modificaciones)

• locate_markers: búsqueda de retroceso de rango completo
• locate_u32_offset_table: búsqueda de retroceso
• Tipos BTF con el mismo nombre: equivalencia estricta → seleccionar el primero
• rt_waiter_node → campo directo rt_mutex_waiter
• Omisión de la verificación de marcos de pila de futex
• Valores de verificación de tokay codificados de forma rígida en FAKE_WAITER_*

slide.c (3 modificaciones)

• open_slide_selected_fds: omite los fd 0-2 (evita que dup2 sobrescriba stdout)
• Añade pr_dbg_file para sincronizar la escritura en disco
• sched_setattr_tid: añade la ruta setpriority (elude SELinux)

target.h

• Todos los desplazamientos reemplazados por valores verificados de BTF de OPPO

Referencias

Las investigaciones independientes de iQOO Neo9s PRO / iQOO Z10x / vivo X Fold5 llegaron a la misma conclusión.

Direcciones futuras

• Vulnerabilidades en controladores propietarios de fabricantes (GPU/ISP/VPU)
• CVE-2026-64560 (requiere heap feng shui + KASLR)
• Esperar nuevos CVE públicos posteriores a 2026-03

---

Archivado el 2026-08-22 · Paquete de investigación completo de 52MB en Release