asus-i005-cve-2026-43499

CVE-2026-43499 (GhostLock) adaptation研究 sur ASUS ROG Phone 5S (ASUS_I005)。

Conclusion : déclenchement de la vulnérabilité et récupération de pile entièrement vérifiés ; la chaîne d'élévation de privilèges est bloquée par le leak KASLR.

TL;DR

Appareil cible

Aperçu de la vulnérabilité

CVE-2026-43499 (GhostLock) est un UAF de pile dans le sous-système rtmutex du noyau Linux. remove_waiter() utilise current au lieu de waiter->task dans le chemin de rollback du proxy lock, ce qui laisse un pointeur suspendu dans task_struct->pi_blocked_on.

Résultats clés

1. Récupération de pile pselect timeout=0 (original)

• pselect timeout>0 → do_select → schedule → le pi_blocked_on suspendu est parcouru → deadlock
• Lorsque timeout=0, end_time=NULL, do_select retourne immédiatement, mais _copy_from_user s'exécute quand même
• nfds=320 → une copie de 40 octets → core_sys_select utilise stack_fds sur la pile
• Le début de ex fd_set s'aligne exactement sur le début du waiter → PSELECT_WAITER_WORD_SHIFT = 10

2. Fuite d'adresse de la pile noyau W

• perf_event_open(pid=W_tid) + PERF_SAMPLE_REGS_INTR(SP)
• Filtrage de la pile IRQ → 41 échantillons de vraie pile W tous identiques
• Alignement 16KB → sp_top → fake_waiter = sp_top - 0x1b0

3. Surface de blocage — la configuration renforcée de l'i005 résiste à tous les KASLR leak

Voir docs/05-limitations.md :

• kptr_restrict=2
• perf matériel enregistre le PC d'entrée du vecteur EL0→EL1 sur arm64 (overflow delayed)
• perf_event_open(system-wide/kworker) EACCES
• bpf() EACCES
• /proc/{kallsyms,timer_list,self/stack} EACCES
• /sys/module/*/sections EACCES

Structure du répertoire

• docs/ Documentation d'analyse et chronologie
  • 06-research-snapshot.md Instantané complet de la recherche
  • 07-iteration-log.md Journal des versions échouées
  • disasm/ Extraits de désassemblage clés
  • recon/ Sorties de reconnaissance
• include/ Table des symboles + offsets de structures
• src/ Code source du PoC (voir src/README.md)
• scripts/ Scripts d'analyse
• logs/ Journaux d'exécution (non versionnés)

Reproduction

# 1. 提取符号与偏移（需 ASUS 官方内核源码编译出的 vmlinux）
./scripts/extract_symbols.sh
./scripts/gen_symbols_h.sh
./scripts/extract_offsets.sh

# 2. 编译 Stage 0
aarch64-linux-gnu-gcc -static -O2 -pthread \
  -o ~/tmp/work/bin/poc_stage0_trigger src/poc_stage0_trigger.c

# 3. 设备运行（需 adb shell 到目标设备）
adb shell /data/local/tmp/poc_stage0_trigger

Chaîne d'outils : aarch64-linux-gnu-gcc -static -O2 -pthread

Références

· gitchw/ghostlock-cve-2026-43499 Huawei Watch 4 Pro, 5.4.210 (ARM32) · ccp-p/ghostlock-cve-2026-43499-4.19-k40 Redmi K40, 4.19.157 (aarch64) · JoinChang/ghostlock-oneplus OnePlus multi-appareils, faisabilité de la disposition de pile · knowlily/cve-2026-43499-honor Analyse d'échec Honor

Avertissement

À des fins de recherche en sécurité uniquement. Ne pas utiliser sur des appareils non autorisés.