oppofindN2-ghostlock

GhostLock CVE-2026-43499 — Recherche sur l'élévation de privilèges du noyau Linux sur OPPO Find N2

Présentation du projet

GhostLock (CVE-2026-43499) est une vulnérabilité UAF de pile du noyau affectant Linux 2.6.39 à 7.1-rc1, déclenchée par une condition de course sur FUTEX_CMP_REQUEUE_PI. Ce projet adapte l'exploit x86_64 de NebuSec/CyberMeowfia à l'OPPO Find N2 (ARM64, noyau 5.10.236).

État du projet

En cours d'itération — plusieurs phases d'exploitation ont été validées, mais le point de blocage principal (contournement CFI / primitive d'écriture noyau) n'a pas encore été franchi.

Fonctionnalités principales

• Exploit Firefox CVE-2026-10702 — confusion de type SpiderMonkey → AAW
• Fuite de mm_struct via KernelSnitch — fuite d'adresses noyau par timing de hash futex
• Déclenchement de GhostLock FUTEX — FUTEX_CMP_REQUEUE_PI ret=0
• Pulvérisation de tas sk_buff — 4/4 envois réussis
• Contournement KASLR PR #13 — calcul direct de kaslr_base
• Vérification complète des offsets avec IDA Pro — plus de 70 offsets noyau validés

Démarrage rapide

Prérequis

• macOS / Linux (Android NDK requis)
• Android NDK r29
• Appareil OPPO Find N2

Compilation et déploiement

1. Cloner le dépôt

git clone https://github.com/pubglite55/oppofindN2-ghostlock.git
cd oppofindN2-ghostlock

2. Définir le chemin du NDK

export NDK=/usr/local/Caskroom/android-ndk/29/AndroidNDK14206865.app/Contents/NDK

3. Compiler l'exploit

cd exploit/
make clean && make NDK=$NDK

4. Pousser vers l'appareil

adb push preload.so /data/local/tmp/

5. Exécuter

adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/ls /dev/null' 2>&1

Structure du dépôt

oppofindN2-ghostlock/
├── exploit/
│   ├── src/
│   │   ├── main.c              # 主入口，GhostLock 触发
│   │   ├── fops.c              # pselect fake lock + kernel base leak
│   │   ├── pipe.c              # pipe 物理读写
│   │   ├── root.c              # root 提权
│   │   ├── util.c              # 工具函数
│   │   └── kernelsnitch/       # mm_struct 泄漏
│   ├── targets/                # 设备偏移定义
│   └── Makefile
└── README.md

Informations sur l'appareil

• Phone: OPPO Find N2, serial=84cb96e2
• Kernel: 5.10.236-android12-9-o-g74d132f4467a
• Build: OPPO/CPH2413/CPH2413:16/UP1A.231005.007/V16.0.12.0.UNFCNXM:user/release-keys
• CONFIG_FUTEX_PI=y
• CONFIG_UNMAP_KERNEL_AT_EL0=y (KPTI enabled)
• kptr_restrict enforced

Blocages principaux

1. pselect ne peut pas manipuler la structure waiter — lorsque NFDS > 336, fd_set se trouve sur le tas
2. configfs/ashmem non pris en charge — ashmem SET_NAME tronqué
3. Toutes les autres voies d'écriture noyau sont bloquées — /proc/self/mem, /dev/mem, binder

Licence

Ce projet est sous licence MIT.

Remerciements

• NebuSec/CyberMeowfia — implémentation originale de l'exploit GhostLock
• NebuSec IonStack Writeup — analyse technique de GhostLock
• Dere3046/ElevateMe — mécanisme de réécriture cred via rb_erase