GhostLock Kit — vivo iQOO Neo9S Pro (V2339FA / MT6989)

Kit de root en un clic GhostLock pour le vivo iQOO Neo9S Pro (V2339FA, MediaTek MT6989). Ce dépôt contient : le patch de portage du transport MCAST, un script en un clic, la documentation d'analyse complète ; le kit complet exécutable (avec binaires et KernelSU) est disponible dans les Releases.

Device: vivo iQOO Neo9S Pro (V2339FA / PD2339, MT6989) Firmware: PD2339_A_16.2.12.1.W10.V000L1 (Android 16) Kernel: 6.1.145-android14-11-maybe-dirty Vulnerability: CVE-2026-43499 (futex PI requeue UAF) For device owners / security research only. Use on your own device.

Points clés (TL;DR)

• Le transport TCP/pselect du GhostLock original subit un décalage de pile sur ce modèle (noyau constructeur +pgo,+bolt), crash systématique ; ce portage a découvert et utilisé la copie de pile de 0x108 octets via setsockopt(SOL_IP, MCAST_JOIN_SOURCE_GROUP, buf, 0x108) comme primitive d'empoisonnement, couvrant entièrement le rt_mutex_waiter obsolète, et débloque toute la chaîne (W1→W2→W3→KernelSU).
• Astuce de réussite constatée : après un redémarrage de l'appareil, restez sur l'écran de verrouillage, ne déverrouillez pas, les services en espace utilisateur sont alors minimaux, réussite presque à coup sûr.
• Utilisation de la version appariée officielle KernelSU v3.3.0 (gestionnaire 32601 + pilote 32601), aucun avertissement d'incompatibilité de version. (Constat : le gestionnaire ReSukiSU 4.2.0-rc1 provoque un blocage du noyau dès son ouverture sur cet appareil, abandonné.)

Démarrage rapide

1. Téléchargez ghostlock-kit-20260913.zip depuis les Releases et décompressez-le.
2. Connectez le téléphone à l'ordinateur en USB (adb autorisé).
3. Exécutez :

cd <répertoire de décompression>\ghostlock-kit
powershell -ExecutionPolicy Bypass -File .\scripts\run-at-lockscreen.ps1 -Reboot

4. Dès que [+] Root 成功！ apparaît, c'est terminé (ne déverrouillez pas le téléphone pendant l'exécution). Vérification :

adb shell su -c id
# uid=0(root) gid=0(root) groups=0(root) context=u:r:ksu:s0

Un échec déclenche un panic du noyau et un redémarrage automatique ; le script attend et réessaie automatiquement (taux de réussite d'environ 25–30 %/tentative ; au moment de l'écran de verrouillage, réussite presque à coup sûr). Le root est temporaire (late-load KernelSU), il faut relancer le script après un redémarrage du téléphone.

Structure du dépôt

.
├── scripts/
│   ├── run-at-lockscreen.ps1   # Tout-en-un : redémarrage→attente écran de verrouillage→push et vérification→exécution→nouvelle tentative automatique (recommandé)
│   └── retry-if-needed.ps1     # Nouvelle tentative générique (sans redémarrage forcé)
├── src/
│   └── ghostlock-mcast.patch   # Modifications du code source (base ghostlock-app @ 50d2b72)
├── docs/                       # Documentation d'analyse (rapport d'exploitation/analyse du transport/waiter et PI walk/manuel de l'appareil/journal de dépannage)
└── LICENSE                     # Apache-2.0 (hérité de l'amont)

Les binaires et le kit complet (files/ghostlock, files/ksud, files/offsets.json, APK KernelSU) ne sont pas placés dans le dépôt git, veuillez télécharger ghostlock-kit-20260913.zip depuis les Releases.

Ressources de Release et vérification

Fichiers clés du kit (MD5) :

Principe en bref

• Vulnérabilité : CVE-2026-43499 — après le retour du thread waiter depuis FUTEX_WAIT_REQUEUE_PI, task->pi_blocked_on pointe toujours de manière pendante vers le rt_mutex_waiter situé sur sa pile.
• Empoisonnement (cœur de ce portage) : setsockopt(SOL_IP, MCAST_JOIN_SOURCE_GROUP, buf, 0x108) fait exécuter à do_ip_setsockopt memset(0x108) + copy_from_user(0x108), la plage copiée [S'−0x338, S'−0x230) couvre entièrement ce waiter (le waiter se situe à l'offset 0x60 du tampon) ; mettre buf[8]=0 fait échouer la vérification de famille, le syscall retourne proprement après la copie.
• Déclenchement : le thread consumer sched_setattr → rt_mutex_adjust_prio_chain lit le waiter falsifié → rb_erase left-only relink forme la primitive d'écriture .

Voir docs/ pour les détails (chaîne de preuves, analyse de désassemblage et scènes de crash).

Questions fréquentes

Compilation (reconstruction depuis les sources)

# Base : ghostlock-app @ 50d2b72 (avec PR#127)
git clone https://github.com/YuKongA/ghostlock-app.git
cd ghostlock-app && git checkout 50d2b72
git apply /path/to/src/ghostlock-mcast.patch
make NDK_ROOT=<your-ndk> ghostlock

Contenu du patch : transport MCAST (do_mcast_fake_lock_route), sélection de route, logique observe/pré-construction, GHOSTLOCK_WALK_LOG (localisation du walk côté consumer), sauvegarde pstore du script root, GHOSTLOCK_SKIP_VR.

Remerciements et licence

• Projet amont : YuKongA/ghostlock-app (Apache-2.0)
• KernelSU (GPLv3) — ksud et l'APK de ce kit proviennent de la version officielle v3.3.0, les droits d'auteur appartiennent à leurs auteurs
• ReSukiSU (GPLv3) — référence d'adaptation précoce
• Les modifications de ce dépôt sont publiées sous Apache-2.0 (voir LICENSE)

Avertissement

Destiné uniquement aux propriétaires d'appareils pour la recherche locale en sécurité et le root à usage personnel sur leurs propres appareils ; ne l'utilisez pas sur des appareils non autorisés ou à des fins illégales. L'utilisation de cet outil peut entraîner une instabilité de l'appareil ou des risques pour les données, veuillez sauvegarder par vous-même et assumer les conséquences correspondantes.