asus-i005-cve-2026-43499

Étude d'adaptation de CVE-2026-43499 (GhostLock) sur ASUS ROG Phone 5S (ASUS_I005).

Conclusion : déclenchement de la vulnérabilité et récupération de pile entièrement vérifiés ; la chaîne d'élévation de privilèges n'a pas été achevée en raison d'une profondeur d'écrasement de pile insuffisante.

Concrètement :

• Stage 0~1.6 entièrement validés avec succès (déclenchement, récupération de pile, fuite d'adresse de pile)
• La primitive d'écriture du Stage 2 nécessite de couvrir waiter+0x28..0x40 (pi_tree_entry.rb_left et lock)
• pselect nfds=320 ne couvre que jusqu'à waiter+0x27
• Aucun vecteur de récupération de pile couvrant plus profondément n'a été trouvé (plus de 40 syscalls candidats épuisés)
• Toutes les sources de fuite KASLR de l'i005 sont également bloquées

Analyse détaillée dans docs/05-limitations.md.

TL;DR

Phase	Contenu	Statut
0	Déclenchement UAF (3 threads + CMP_REQUEUE_PI)	✅
1	Récupération de pile pselect timeout=0 (shift=10)	✅
1.6	Fuite de SP de la pile noyau W (perf PERF_SAMPLE_REGS_INTR)	✅
2	Écriture à adresse arbitraire (nécessite KASLR slide)	❌
—	Fuite KASLR (les 8 sources ont toutes échoué)	❌

Appareil cible

Élément	Valeur
Appareil	ASUS ROG Phone 5S (ASUS_I005)
SoC	Snapdragon 888 (SM8350)
Android	13
Noyau	5.4.210-qgki-perf-gc89cd02a7dfe arm64
SELinux	Enforcing (u:r🐚s0)
CapEff	0

Aperçu de la vulnérabilité

CVE-2026-43499 (GhostLock) est une UAF de pile dans le sous-système rtmutex du noyau Linux. remove_waiter() utilise current au lieu de waiter->task dans le chemin de restauration du verrou proxy, laissant un pointeur suspendu résiduel dans task_struct->pi_blocked_on.

Résultats clés

1. Récupération de pile avec pselect timeout=0 (original)

• pselect timeout>0 → do_select → schedule → pi_blocked_on pendant est parcouru → interblocage
• lorsque timeout=0, end_time=NULL, do_select retourne immédiatement, mais _copy_from_user s'exécute quand même
• nfds=320 → une copie de 40 octets → core_sys_select utilise stack_fds sur la pile
• le point de départ de ex fd_set est exactement aligné sur le point de départ de waiter → PSELECT_WAITER_WORD_SHIFT = 10

2. Fuite d'adresse de pile noyau W

• perf_event_open(pid=W_tid) + PERF_SAMPLE_REGS_INTR(SP)
• filtrage de la pile IRQ → les 41 échantillons de vraie pile W sont tous identiques
• alignement sur 16 Ko → sp_top → fake_waiter = sp_top - 0x1b0

3. Point de blocage — la configuration renforcée de l'i005 résiste à toutes les fuites KASLR

Voir docs/05-limitations.md :

• kptr_restrict=2
• perf matériel enregistre sur arm64 le PC d'entrée du vecteur EL0→EL1 (overflow delayed)
• perf_event_open(system-wide/kworker) EACCES
• bpf() EACCES
• /proc/{kallsyms,timer_list,self/stack} EACCES
• /sys/module/*/sections EACCES

Structure du répertoire

• docs/ Documentation d'analyse et chronologie
  • 06-research-snapshot.md Instantané complet de la recherche
  • 07-iteration-log.md Journal des versions échouées
  • disasm/ Extraits de désassemblage clés
  • recon/ Sorties de reconnaissance
• include/ Table des symboles + offsets des structures
• src/ Code source du PoC (voir src/README.md)
• scripts/ Scripts d'analyse
• logs/ Journaux d'exécution (non versionnés dans git)

Reproduction

# 1. Extraire les symboles et offsets (nécessite un vmlinux compilé à partir des sources du noyau officiel ASUS)
./scripts/extract_symbols.sh
./scripts/gen_symbols_h.sh
./scripts/extract_offsets.sh

# 2. Compiler Stage 0
aarch64-linux-gnu-gcc -static -O2 -pthread \
  -o ~/tmp/work/bin/poc_stage0_trigger src/poc_stage0_trigger.c

# 3. Exécution sur l'appareil (nécessite adb shell vers l'appareil cible)
adb shell /data/local/tmp/poc_stage0_trigger
Chaîne d'outils : aarch64-linux-gnu-gcc -static -O2 -pthread

Références

· gitchw/ghostlock-cve-2026-43499        Huawei Watch 4 Pro, 5.4.210 (ARM32)
· ccp-p/ghostlock-cve-2026-43499-4.19-k40  Redmi K40, 4.19.157 (aarch64)
· JoinChang/ghostlock-oneplus              Plusieurs appareils OnePlus, faisabilité de la disposition de pile
· knowlily/cve-2026-43499-honor            Analyse de l'échec sur Honor

Avertissement

À usage exclusif de la recherche en sécurité. Ne pas utiliser sur des appareils non autorisés.