GhostLock का PD2229 (SM8475, 5.10.233 GKI) पर शोषण विफलता सारांश

一、भेद्यता और डिवाइस तथ्य

1.1 CVE-2026-43499 (GhostLock) मूल जानकारी

आइटम	मान
भेद्यता प्रकार	rt_mutex / futex PI पथ में स्टैक-आधारित Use-After-Free
परिचय संस्करण	Linux 2.6.39-rc1 (मई 2011, commit 8161239a8bcc)
फिक्स संस्करण	मुख्यलाइन 7.1 (commit 3bfdc63936dd), स्थिर शाखाएँ: 6.1.175 / 6.6.140 / 6.12.86 / 6.18.27 / 7.0.4
पूर्वापेक्षा	CONFIG_FUTEX_PI=y (मुख्यधारा कर्नेल में डिफ़ॉल्ट रूप से सक्षम)
CVSS	7.8 High
शोषण स्थिरता	NebuSec मूल श्रृंखला 97%, लगभग 5 सेकंड में root
kernelCTF इनाम	$92,337 USD

प्रभावित कर्नेल रेंज:

• 2.6.39 ≤ Linux < 6.1.175 ✅ प्रभावित
• 6.2 ≤ Linux < 6.6.140 ✅ प्रभावित
• 6.7 ≤ Linux < 6.12.86 ✅ प्रभावित
• 6.13 ≤ Linux < 6.18.27 ✅ प्रभावित
• 6.19 ≤ Linux < 7.0.4 ✅ प्रभावित
• Android GKI 5.10 किसी भी फिक्स शाखा में नहीं है → PD2229 का 5.10.233 सैद्धांतिक रूप से प्रभावित

1.2 PD2229 डिवाइस वास्तविक परीक्षण

आइटम	मान
SoC	Qualcomm SM8475 (Snapdragon 8 Gen 1 Plus)
कर्नेल संस्करण	5.10.233-gki-g6e61de9f5b58 #1 SMP PREEMPT (नवंबर 24, 2025)
Android संस्करण	15 (OriginOS 5)
संकलन समय	2025/11/25
Android पैच	2025/11/01
CONFIG_FUTEX_PI	y ✅
CONFIG_UNMAP_KERNEL_AT_EL0	y (KPTI सक्षम)
kptr_restrict	enforced
CONFIG_IO_URING	y ✅ (vmlinux प्रतीक द्वारा पुष्टि, और seccomp io_uring_setup को इंटरसेप्ट नहीं करता)

---

二、आदर्श शोषण श्रृंखला बनाम PD2229 वास्तविक प्रगति

2.1 NebuSec मूल श्रृंखला (x86_64 / Pixel 10 सफल)

1. KASLR बाईपास        → prefetch timing / PR_SET_MM_MAP auxv
2. UAF ट्रिगर          → तीन-थ्रेड PI निर्भरता डेडलॉक → FUTEX_CMP_REQUEUE_PI -EDEADLK लौटाता है
3. स्टैक पुनर्प्राप्ति    → PR_SET_MM_MAP auxv को waiter स्टैक फ्रेम में कॉपी करता है
4. rb_erase प्रतिबंधित लेखन   → inet6_protos[IPPROTO_UDP] को ओवरराइट करता है
5. CEA + ROP         → नियंत्रण प्रवाह अपहरण
6. core_pattern फ्लिप → root shell (97% सफलता दर)

2.2 PD2229 प्रत्येक चरण की वास्तविक प्रगति

चरण	स्थिति	विवरण
1. KASLR बाईपास	✅ लागू	perf_event_open + callchain सैंपलिंग साइड-चैनल (OPPO Find X6 Pro 5.15.149 अनुकूलन विधि के समान)
2. UAF ट्रिगर	✅ लागू	तीन-थ्रेड PI डेडलॉक सफल, FUTEX_CMP_REQUEUE_PI -EDEADLK लौटाता है
3. स्टैक पुनर्प्राप्ति प्रिमिटिव	❌ आर्किटेक्चरल विफलता	सभी ज्ञात syscall के स्टैक फ्रेम waiter के साथ ओवरलैप नहीं होते (धारा 3 देखें)
4. rb_erase प्रतिबंधित लेखन	❌ अवरुद्ध	पूर्वापेक्षा पूरी नहीं हुई
5. inet6_protos ओवरराइट	❌ शुरू नहीं	चरण 4 पर निर्भर
6. ROP / नियंत्रण प्रवाह अपहरण	❌ शुरू नहीं	चरण 5 पर निर्भर
7. root shell	❌ शुरू नहीं	चरण 6 पर निर्भर

---

三、स्टैक पुनर्प्राप्ति प्रिमिटिव संपूर्ण परीक्षण परिणाम (PD2229 वास्तविक परीक्षण)

3.1 स्टैक फ्रेम लेआउट प्रमुख गणना

futex पथ कुल गहराई:
  __arm64_sys_futex    0x90
  + do_futex           0xc0
  + futex_wait_requeue_pi  0x1b0
  = 0x300
waiter स्थिति = SYS_SP - 0x300 + 0x20 = SYS_SP - 0x2e0

pselect पथ:
  core_sys_select स्टैक फ्रेम 0x1c0, stack_fds sp+0x50 पर
  कवरेज रेंज: SYS_SP - 0x1c0 + 0x50 = SYS_SP - 0x170 से शुरू
  waiter (SYS_SP - 0x2e0) से अंतर 0x170 (368 बाइट्स) → कोई ओवरलैप नहीं

3.2 परीक्षण की गई 17 स्टैक लेखन विधियाँ

#	विधि	सिस्टम कॉल	PD2229 परिणाम	मुख्य विफलता कारण
1	stamp_prctl	PR_SET_MM_MAP	❌ EPERM	Android हार्ड इंटरसेप्ट
2	stamp_pselect	pselect6 (NFDS=320)	❌ कोई ओवरलैप नहीं	waiter fd_set से 120B नीचे
3	stamp_pselect	pselect6 (NFDS>336)	❌ हीप आवंटन	kvmalloc पथ
4	stamp_socket	MCAST_JOIN_SOURCE_GROUP	❌ अपर्याप्त कवरेज	केवल lock फ़ील्ड लिखता है
5	stamp_sendmsg	sendmsg	❌ waiter से 80B दूर	स्टैक फ्रेम 0x90 गहराई अपर्याप्त
6	stamp_sendmmsg	sendmmsg	❌ waiter से 112B दूर	स्टैक फ्रेम अपर्याप्त
7	stamp_recvmmsg	recvmmsg	❌ task/lock शून्य करता है	0x1d0 स्टैक फ्रेम महत्वपूर्ण पॉइंटर्स को नष्ट करता है
8	stamp_process_vm	process_vm_writev	❌ कोई ओवरलैप नहीं	चाइल्ड थ्रेड स्टैक अलग से आवंटित
9	stamp_keyctl	KEYCTL_INSTANTIATE_IOV	❌ EOPNOTSUPP	सिस्टम कॉल समर्थित नहीं + स्टैक फ्रेम 0x40
10	stamp_tcp	TCP_ZEROCOPY_RECEIVE	❌ स्टैक फ्रेम अपर्याप्त	अनुमानित गहराई पर्याप्त नहीं
11	stamp_futex	FUTEX_CMP_REQUEUE_PI पुनरावर्ती	❌ तार्किक रूप से असंभव	UAF विंडो को नष्ट करता है
12	binder ioctl	BINDER_WRITE_READ	❌ EACCES	shell के पास /dev/binder अनुमति नहीं
13	poll	poll	❌ हीप आवंटन	pollfd हीप पर
14	epoll_wait	epoll_wait	❌ फ्रेम बहुत उथला	स्टैक फ्रेम 0xE0
15	sched_setattr	sched_setattr	❌ गहराई अपर्याप्त	स्टैक फ्रेम 0xb0
16	timerfd_settime	timerfd_settime	❌ कोई स्टैक कॉपी नहीं	कोई बड़ा स्टैक बफर नहीं
17	io_uring_register	IORING_REGISTER_*	❌ दोहरी विफलता	①स्टैक फ्रेम केवल 0xF0, copy_from_user लक्ष्य निश्चित sp+0x8 (waiter के sp+0x1D0 से 424 बाइट्स का अंतर); ②हालाँकि io_uring_setup seccomp द्वारा इंटरसेप्ट नहीं किया गया (ENOSYS के बजाय EFAULT लौटाता है), स्टैक लेआउट मेल नहीं खाता

17/17 सभी विफल।

3.3 विफलता का मूल कारण

PD2229 के SM8475 5.10 GKI कंपाइलर (PGO + LTO + BOLT) द्वारा उत्पन्न स्टैक लेआउट, core_sys_select के stack_fds और futex_wait_requeue_pi के rt_mutex_waiter के बीच आर्किटेक्चरल गैर-ओवरलैप का कारण बनता है। यह कंपाइलर द्वारा निर्धारित एक वस्तुनिष्ठ तथ्य है, न कि शोषण तकनीक की समस्या।

JoinChang रिपॉजिटरी स्पष्ट रूप से बताती है: "The pselect stack overlay only works when the freed rt_mutex_waiter lands within the user-controllable region of the stack_fds buffer" — PD2229 इस शर्त को पूरा नहीं करता।

---

四、सार्वजनिक संदर्भ रिपॉजिटरी तुलनात्मक विश्लेषण

NebuSec/CyberMeowfia — मूल शोषण फ्रेमवर्क

• रिपॉजिटरी: https://github.com/NebuSec/CyberMeowfia
• लक्ष्य: x86_64 Linux / Pixel 10 (6.x GKI)
• स्टैक पुनर्प्राप्ति: PR_SET_MM_MAP auxv को कर्नेल स्टैक में कॉपी करता है
• सफलता दर: 97%, लगभग 5 सेकंड [root shell]
• PD2229 अनुकूलता: ❌ PR_SET_MM_MAP Android पर EPERM द्वारा इंटरसेप्ट किया गया

JoinChang/ghostlock-oneplus — OnePlus बूटलोडर अनलॉक jailbreak

• रिपॉजिटरी: https://github.com/JoinChang/ghostlock-oneplus
• सत्यापित डिवाइस:
  • OnePlus Ace 6T (PLR110, SM8845) — 6.12.38 GKI ✅
  • OnePlus 15 (PLK110, SM8845) — 6.12.23 GKI ✅
• तकनीकी बिंदु:
  • ऑफसेट स्वचालित निष्कर्षण: kallsyms (28) + BTF (57) + व्युत्पन्न (9) + स्थिरांक (12) = 103/103
  • pselect स्टैक ओवरले, SP diff = -64
  • PSELECT_SHIFT = -2
  • शोषण श्रृंखला: futex UAF → नकली waiter → pselect नियंत्रित स्टैक → rb_erase प्रतिबंधित लेखन → selinux_state.enforcing=0 → cred को init_cred से ओवरराइट
• स्पष्ट रूप से असंभव घोषित: "Not Feasible (stack layout incompatible)" — केवल उन कर्नेलों पर लागू जहां pselect stack_fds और waiter ओवरलैप होते हैं
• PD2229 अनुकूलता: ❌ कर्नेल पीढ़ी बेमेल (6.12 बनाम 5.10), और स्टैक लेआउट ओवरलैप नहीं होता

p2p3p/GhostLock-for-OnePlus — OnePlus 6.12 पूर्ण शोषण

• रिपॉजिटरी: https://github.com/p2p3p/GhostLock-for-OnePlus
• सत्यापित: OnePlus Ace 6T (SM8845, 6.12.38) ✅
• PD2229 अनुकूलता: ❌ JoinChang के समान, कर्नेल पीढ़ी बेमेल

YuKongA/ghostlock-oplus — OPPO Find N5/X8

• रिपॉजिटरी: https://github.com/YuKongA/ghostlock-oplus
• कर्नेल: 6.6.118 GKI
• PD2229 अनुकूलता: ❌ कर्नेल पीढ़ी बेमेल

OPPO Find X6 Pro (PGEM10) अनुकूलन — 5.15.149

• डिवाइस: SM8550, 5.15.149-android13, Android 15
• प्रगति: ✅ KASLR बाईपास (perf_event_open + callchain सैंपलिंग); बाद के चरणों का पूर्ण शोषण सार्वजनिक नहीं
• महत्व: साबित करता है कि 5.15 GKI पर KASLR बाईपास संभव है, लेकिन स्टैक पुनर्प्राप्ति चरण सार्वजनिक रूप से सत्यापित नहीं