GhostLock — Déblocage du bootloader verrouillé

Exploit noyau pour appareils Android avec bootloader verrouillé. Obtient un root temporaire + installation de KernelSU sans déverrouiller le bootloader ni modifier l'image de boot. Détection automatique au runtime de la version du noyau avec table d'offsets multi-appareils.

Vulnérabilité

CVE-2026-43499 — Futex PI (Priority Inheritance) Use-After-Free

Affecte les noyaux Linux 5.7 ~ 7.1. Corrigé dans les versions stables 6.1.175, 6.6.140, 6.12.86. La plupart des appareils Android restent non corrigés en septembre 2026.

L'appel système pselect6 copie les données fd_set sur la pile du noyau. Combiné au mécanisme d'attente futex PI, une trame de pile libérée peut être récupérée comme structure rt_mutex_waiter. Le rééquilibrage de l'arbre rb pendant la traversée de la chaîne PI écrit alors des valeurs contrôlées à des adresses noyau arbitraires.

Appareils pris en charge

Vérifiés fonctionnels

Offsets extraits (test appareil en attente)

Non réalisables

Le chevauchement de pile pselect exige que le rt_mutex_waiter libéré atterrisse dans la région stack_fds contrôlable par l'utilisateur (mots 0–14). L'emplacement est déterminé par les profils PGO/LTO du compilateur, pas par la version du noyau. Voir Disposition de la pile.

Remarque sur la faisabilité 6.1 : Les noyaux OPLUS 6.1 sont systématiquement non réalisables en raison de l'inlining PGO de do_futex. Cependant, certains noyaux non-OPLUS 6.1 (vivo) conservent la chaîne d'appels standard et sont réalisables (vivo T4, X Fold3 Pro). La faisabilité doit être vérifiée appareil par appareil.

Déroulement de l'exploit

Deux chemins de root, sélectionnés automatiquement selon les capacités de l'appareil :

Chemin A : Root UMH (préféré, appareils C ashmem)

Nécessite off_ashmem_misc_fops != 0 (C ashmem avec miscdevice statique dans BSS).

Écriture PI (mode=4)  →  redirige les fops miscdevice vers de faux fops
                   →  configfs r/w → pipe physrw (r/w noyau précis à 1 octet)
                   →  SELinux enforcing = 0 (octet unique, sans corruption policycap)
                   →  UMH : injection work_struct dans system_unbound_wq
                   →  script root → chargement tardif ksud → KSU installé

Disponible sur : OnePlus 13, OPPO Pad 4 Pro, appareils C ashmem 5.10/6.1. Non disponible sur Rust ashmem (GKI 6.12) — miscdevice alloué sur le tas.

Chemin B : Écriture PI directe (repli)

Écriture 1 (mode=1)  →  SELinux enforcing = 0 (écriture 8 octets, corrompt les octets adjacents)
Écriture 2 (mode=2)  →  task->cred = init_cred (uid=0, toutes les capacités)
Shell root         →  chargement tardif ksud → KSU → correction de la politique SELinux

Après W1+W2, l'exploit corrige le champ config du binaire de politique SELinux (|= 0xC0000000 pour ANDROID_NETLINK_ROUTE + GETNEIGH) et recharge via /sys/fs/selinux/load pour restaurer la connectivité réseau.

Mode Bootstrap (téléphone autonome)

App (seccomp)  →  Écriture 1 → mini-adb TCP → adb shell : exploit complet → root

Démarrage automatique

Le lanceur au démarrage est fourni par l'application séparée GhostLock Anchor.

Disposition de la pile — Faisabilité

Avec NFDS=320, core_sys_select alloue un tampon stack_fds de 256 octets sur la pile du noyau :

stack_fds:  0    5    10   14 | 15   20   25   29
            ├─in─┤─out─┤─ex──┤ ├res_in┤res_out┤res_ex┤
            ◄── CONTRÔLÉ UTILISATEUR ──►│◄── ZÉRO NOYAU ──►

L'exploit place de faux champs waiter (task, lock) dans les bitmaps d'entrée fd_set. Pour le waiter imbriqué 6.12 (14 mots) : mot waiter maximal réalisable = 3. Pour le waiter compact 5.10/6.1 (10 mots) : mot waiter maximal réalisable = 7.

La position du waiter dépend de la profondeur de la chaîne d'appels :

kernel_phys_load

Toutes les écritures noyau utilisent l'alias de carte linéaire. Le bootloader choisit kernel_phys_load, qui varie selon le SoC :

Une valeur incorrecte échoue silencieusement. Lisez-la sur une unité rootée :

su -c 'grep -i "Kernel code" /proc/iomem'   # c7810000-... → 0xc7800000

Remplacement au runtime : KPHYS=0xc7800000 /data/local/tmp/a/e

PSELECT_SHIFT

/data/local/tmp/a/e                        # Défaut (shift=0)
PSELECT_SHIFT=-2 /data/local/tmp/a/e       # OnePlus 13 (6.6)

KIMAGE_TEXT_BASE

Les noyaux 5.10 utilisent 0xffffffc008000000 (VA_BITS=39, différent du défaut 6.x 0xffffffc080000000). Ceci est géré automatiquement via le champ kimage_text_base dans l'entrée d'offsets de l'appareil.

Compilation

make NDK_ROOT=/chemin/vers/android-ndk

Ou directement :

NDK=/chemin/vers/android-ndk
"$NDK/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android35-clang" \
  -O2 -Wall -Isrc/core -Isrc/devices -DTARGET_CONFIG_H=\"target.h\" \
  src/core/main.c src/core/util.c src/core/slide.c \
  src/core/fops.c src/core/pipe_physrw.c src/core/root.c \
  src/core/miniadb.c src/core/umh_root.c \
  -o ./ghostlock -fPIE -pie -pthread

Prérequis

ksud (requis pour l'installation de KSU)

GhostLock fournit un root temporaire. L'installation de KernelSU nécessite ksud qui regroupe kernelsu.ko pour chaque version KMI.

Configuration

adb shell mkdir -p /data/local/tmp/a
adb push ./ghostlock /data/local/tmp/a/e
adb shell chmod 755 /data/local/tmp/a/e
adb shell /data/local/tmp/a/e

Exécutez après le démarrage complet et lorsque ADB est prêt.

Ajout de nouveaux appareils

Seul boot.img est nécessaire — pas de root, pas d'accès à l'appareil requis.

1. Extraction du noyau et de kallsyms

Voir le guide des outils kallsyms pour le flux complet, ou :

python tools/extract_target.py --kallsyms kallsyms.txt
python tools/extract_btf.py kernel

2. Détermination de la faisabilité

Vérifiez si do_futex est inliné par PGO en recherchant dans le binaire du noyau toutes les instructions de branche ciblant futex_wait_requeue_pi. Si __arm64_sys_futex l'appelle directement (en contournant do_futex), l'appareil n'est probablement pas réalisable.

3. Création de l'entrée appareil

Ajoutez src/devices/<nom>/offsets.h avec les offsets extraits et incluez-le dans src/devices/offsets.h. Utilisez la macro d'offsets de structure appropriée :

Pour les appareils à waiter compact 5.10/6.1, définissez également .kimage_text_base=0xffffffc008000000ULL.

Fichiers

Licence

Uniquement à des fins de recherche en sécurité autorisée et d'éducation.