asus-i005-cve-2026-43499

CVE-2026-43499 (GhostLock) 在 ASUS ROG Phone 5S (ASUS_I005) 上的适配研究。

结论：漏洞触发与栈回收完整验证；提权链因栈覆盖深度不足而未完成。

具体地：

• Stage 0~1.6 全部验证成功（触发、栈回收、栈地址泄漏）
• Stage 2 的写原语需要覆盖 waiter+0x28..0x40（pi_tree_entry.rb_left 和 lock）
• pselect nfds=320 只覆盖到 waiter+0x27
• 未找到覆盖更深的栈回收载体（已穷尽 40+ 个候选 syscall）
• i005 的所有 KASLR leak 源也全部被堵

详细分析见 docs/05-limitations.md。

TL;DR

चरण	सामग्री	स्थिति
0	UAF ट्रिगर (3 थ्रेड + CMP_REQUEUE_PI)	✅
1	pselect timeout=0 स्टैक रिक्लेम (shift=10)	✅
1.6	W कर्नेल स्टैक SP लीक (perf PERF_SAMPLE_REGS_INTR)	✅
2	मनमाना पता लेखन (KASLR slide आवश्यक)	❌
—	KASLR लीक (सभी 8 स्रोत विफल)	❌

目标设备

आइटम	मान
डिवाइस	ASUS ROG Phone 5S (ASUS_I005)
SoC	Snapdragon 888 (SM8350)
Android	13
कर्नेल	5.4.210-qgki-perf-gc89cd02a7dfe arm64
SELinux	Enforcing (u:r🐚s0)
CapEff	0

漏洞概述

CVE-2026-43499 (GhostLock) Linux कर्नेल के rtmutex सबसिस्टम में स्टैक UAF है। remove_waiter() प्रॉक्सी लॉक रोलबैक पथ में waiter->task के बजाय current का उपयोग करता है, जिससे task_struct->pi_blocked_on में एक लटकता हुआ डैंगलिंग पॉइंटर शेष रह जाता है।

关键成果

1. pselect timeout=0 栈回收（原创）

• pselect timeout>0 → do_select → schedule → लटकता pi_blocked_on ट्रैवर्स होता है → डेडलॉक
• timeout=0 होने पर end_time=NULL, do_select तुरंत लौटता है, लेकिन _copy_from_user फिर भी निष्पादित होता है
• nfds=320 → एक प्रति 40 बाइट → core_sys_select स्टैक पर stack_fds का उपयोग करता है
• ex fd_set का प्रारंभ बिंदु ठीक waiter के प्रारंभ बिंदु के साथ संरेखित → PSELECT_WAITER_WORD_SHIFT = 10

2. W 内核栈地址泄漏

• perf_event_open(pid=W_tid) + PERF_SAMPLE_REGS_INTR(SP)
• IRQ स्टैक फ़िल्टर करें → 41 वास्तविक W स्टैक नमूने सभी समान
• 16KB संरेखण → sp_top → fake_waiter = sp_top - 0x1b0

3. 阻断面 — i005 加固配置抵抗所有 KASLR leak

见 docs/05-limitations.md：

• kptr_restrict=2
• arm64 पर perf हार्डवेयर EL0→EL1 वेक्टर प्रवेश PC रिकॉर्ड करता है (overflow delayed)
• perf_event_open(system-wide/kworker) EACCES
• bpf() EACCES
• /proc/{kallsyms,timer_list,self/stack} EACCES
• /sys/module/*/sections EACCES

目录结构

• docs/ 分析文档与时间线
  • 06-research-snapshot.md 完整研究快照
  • 07-iteration-log.md 失败版本记录
  • disasm/ 关键反汇编片段
  • recon/ 侦察输出
• include/ 符号表 + 结构体偏移
• src/ PoC 源码（详见 src/README.md）
• scripts/ 分析脚本
• logs/ 运行日志（不入 git）

复现

# 1. 提取符号与偏移（需 ASUS 官方内核源码编译出的 vmlinux）
./scripts/extract_symbols.sh
./scripts/gen_symbols_h.sh
./scripts/extract_offsets.sh

# 2. Stage 0 कंपाइल करें
aarch64-linux-gnu-gcc -static -O2 -pthread \
  -o ~/tmp/work/bin/poc_stage0_trigger src/poc_stage0_trigger.c

# 3. डिवाइस पर चलाएँ (लक्ष्य डिवाइस पर adb shell आवश्यक)
adb shell /data/local/tmp/poc_stage0_trigger
टूलचेन: aarch64-linux-gnu-gcc -static -O2 -pthread

参考

· gitchw/ghostlock-cve-2026-43499        Huawei Watch 4 Pro, 5.4.210 (ARM32)
· ccp-p/ghostlock-cve-2026-43499-4.19-k40  Redmi K40, 4.19.157 (aarch64)
· JoinChang/ghostlock-oneplus              OnePlus कई डिवाइस, स्टैक लेआउट व्यवहार्यता
· knowlily/cve-2026-43499-honor            Honor विफलता विश्लेषण

免责声明

仅供安全研究。请勿用于未授权设备。