oppo-ghostlock

GhostLock CVE-2026-43499 — Recherche d'élévation de privilèges du noyau Linux sur OPPO Find N2

Aperçu du projet

GhostLock (CVE-2026-43499) est une vulnérabilité d'UAF de la pile noyau affectant Linux 2.6.39 à 7.1-rc1, déclenchée via une condition de course sur FUTEX_CMP_REQUEUE_PI. Ce projet adapte l'exploit x86_64 de NebuSec/CyberMeowfia à l'OPPO Find N2 (ARM64, kernel 5.10.236).

État du projet

En cours — Plusieurs étapes de l'exploitation ont été validées, mais le point de blocage central (bypass CFI / primitive d'écriture noyau) n'est pas encore franchi.

Fonctionnalités principales

• Exploit Firefox CVE-2026-10702 — confusion de types SpiderMonkey → AAW
• Fuite de mm_struct KernelSnitch — fuite d'adresses noyau par timing sur futex hash
• Déclenchement GhostLock FUTEX — FUTEX_CMP_REQUEUE_PI ret=0
• Heap spraying sk_buff — envoi réussi 4/4
• Bypass KASLR PR #13 — calcul direct de kaslr_base
• Validation complète des offsets via IDA Pro — plus de 70 offsets noyau validés

Démarrage rapide

Prérequis

• macOS / Linux (nécessite Android NDK)
• Android NDK r29
• Appareil OPPO Find N2

Compilation et déploiement

# 1. Cloner le dépôt
git clone https://github.com/pubglite55/oppo-ghostlock.git
cd oppo-ghostlock

# 2. Définir le chemin NDK
export NDK=/usr/local/Caskroom/android-ndk/29/AndroidNDK14206865.app/Contents/NDK

# 3. Compiler l'exploit
cd exploit/
make clean && make NDK=$NDK

# 4. Pousser vers l'appareil
adb push preload.so /data/local/tmp/

# 5. Exécuter
adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/ls /dev/null' 2>&1

Structure du dépôt

oppo-ghostlock/
├── exploit/
│   ├── src/
│   │   ├── main.c              # Point d'entrée principal, déclenchement GhostLock
│   │   ├── fops.c              # pselect fake lock + fuite de la base noyau
│   │   ├── pipe.c              # lecture/écriture physique via pipe
│   │   ├── root.c              # élévation de privilèges root
│   │   ├── util.c              # fonctions utilitaires
│   │   └── kernelsnitch/       # fuite de mm_struct
│   ├── targets/                # définitions des offsets par appareil
│   └── Makefile
└── README.md

Informations sur l'appareil

• Phone: OPPO Find N2, serial=84cb96e2
• Kernel: 5.10.236-android12-9-o-g74d132f4467a
• Build: OPPO/CPH2413/CPH2413:16/UP1A.231005.007/V16.0.12.0.UNFCNXM:user/release-keys
• CONFIG_FUTEX_PI=y
• CONFIG_UNMAP_KERNEL_AT_EL0=y (KPTI activé)
• kptr_restrict appliqué

Points de blocage principaux

1. pselect ne peut pas manipuler la structure waiter — au-delà de NFDS > 336, fd_set se trouve sur le tas
2. configfs/ashmem non pris en charge — SET_NAME d'ashmem tronqué
3. Toutes les autres voies d'écriture noyau sont bloquées — /proc/self/mem, /dev/mem, binder

Licence

Ce projet est sous licence MIT.

Remerciements

• NebuSec/CyberMeowfia — implémentation originale de l'exploit GhostLock
• Write-up NebuSec IonStack — analyse technique de GhostLock
• Dere3046/ElevateMe — mécanisme d'écrasement des creds via rb_erase