CVE-2026-43499 (GhostLock) — Archive de recherche sur l'adaptation de la vulnérabilité CVE-2026-43499

Appareil : OPPO PKP110 (OP5DF3) · Noyau 6.1.134-android14-11-o · Android 16 (SDK 36) Période de recherche : 2026-08-20 ~ 2026-08-22

Conclusion finale

La chaîne d'exploitation de CVE-2026-43499 ne peut pas converger sur l'environnement renforcé 6.1 GKI + Android 14/15/16.

Cause principale de l'échec : la chaîne PI ne passe pas par la page de pulvérisation (vérifié indépendamment par l'étude iQOO Neo9s PRO)

• le rt_mutex_waiter créé par futex_wait_requeue_pi se trouve sur la pile du noyau
• pi_blocked_on pointe vers un rt_mutex alloué en interne par le noyau
• le fake waiter/lock pulvérisé par KernelSnitch ne participe pas au parcours de la chaîne PI
• ce qui fait que rb_erase n'écrit pas dans la cible contrôlée par l'attaquant (boot_id, etc.)

Résultats de l'adaptation

Élément	Résultat
Décalages des structures	✅ Tous vérifiés corrects via BTF
setpriority en remplacement de sched_setattr	✅ Contourne l'interception SELinux, plus de crash
Chaîne complète fonctionnelle	✅ KernelSnitch + pulvérisation de tas SKB + déclenchement par punch (calls=1)
Correction de l'indirection de boot_id	✅ 0x2139958 → 0x237e188
perf_event_open	❌ Bloqué par SELinux (EACCES)
Couverture pselect	❌ Impossible d'atteindre le waiter sur 6.1 GKI

Les trois voies de fuite KASLR sont toutes bloquées, la chaîne d'élévation de privilèges ne peut pas converger.

Description des fichiers

Fichier	Description
target-OPPO-PKP110.h	target.h spécifique à OPPO (décalages vérifiés via BTF)
symbols-OPPO.txt	Table complète des symboles du noyau OPPO (110432 symboles)
structs-OPPO.h	Définitions des structures BTF du noyau OPPO
preload-tokay-PKP110.so	Produit de compilation du code source tokay + décalages OPPO
ghostlock-PKP110	Produit de compilation de ghostlock-oneplus + décalages OPPO
perf_leak_test.c	Test de fuite perf (vérifie le blocage par SELinux)

Journal des modifications

generate_target.py (6 modifications)

• locate_markers : recherche de repli sur toute la plage
• locate_u32_offset_table : recherche de repli
• Types BTF de même nom : équivalence stricte → sélection du premier
• rt_waiter_node → champ direct rt_mutex_waiter
• Contournement de la vérification de la pile d'appels futex
• Valeurs de vérification tokay codées en dur FAKE_WAITER_*

slide.c (3 modifications)

• open_slide_selected_fds : ignorer les fd 0-2 (éviter que dup2 écrase stdout)
• ajout de pr_dbg_file pour une synchronisation sur disque
• sched_setattr_tid : ajout de la voie setpriority (contournement de SELinux)

target.h

• Tous les décalages remplacés par les valeurs vérifiées par OPPO BTF

Références

Les recherches indépendantes sur iQOO Neo9s PRO / iQOO Z10x / vivo X Fold5 aboutissent toutes à la même conclusion.

Orientations futures

• Vulnérabilités des pilotes propriétaires des fabricants (GPU/ISP/VPU)
• CVE-2026-64560 (nécessite un heap feng shui + KASLR)
• Attendre de nouveaux CVE publiés après 2026-03

---

Archivé le 2026-08-22 · le package de recherche complet de 52 Mo est disponible dans les Releases