CVE-2026-43499 (GhostLock) — CVE-2026-43499 漏洞适配研究归档

डिवाइस: OPPO PKP110 (OP5DF3) · कर्नेल 6.1.134-android14-11-o · Android 16 (SDK 36) शोध अवधि: 2026-08-20 ~ 2026-08-22

最终结论

CVE-2026-43499 在 6.1 GKI + Android 14/15/16 加固环境上利用链无法收敛。

मुख्य मृत्यु कारण: PI श्रृंखला स्प्रे पेज से नहीं गुजरती (iQOO Neo9s PRO शोध द्वारा स्वतंत्र रूप से सत्यापित)

• futex_wait_requeue_pi द्वारा बनाया गया rt_mutex_waiter कर्नेल स्टैक पर होता है
• pi_blocked_on कर्नेल के आंतरिक रूप से आवंटित rt_mutex की ओर इंगित करता है
• KernelSnitch द्वारा स्प्रे किए गए fake waiter/lock PI श्रृंखला ट्रैवर्सल में भाग नहीं लेते
• जिसके कारण rb_erase हमलावर-नियंत्रित लक्ष्य (boot_id आदि) पर नहीं लिख पाता

适配成果

मद	परिणाम
संरचना ऑफ़सेट	✅ BTF सभी सत्यापित सही
setpriority द्वारा sched_setattr का प्रतिस्थापन	✅ SELinux अवरोधन हल हुआ, अब क्रैश नहीं होता
पूर्ण श्रृंखला सफलतापूर्वक चली	✅ KernelSnitch + SKB हीप स्प्रे + punch ट्रिगर (calls=1)
boot_id अप्रत्यक्ष संबोधन सुधार	✅ 0x2139958 → 0x237e188
perf_event_open	❌ SELinux द्वारा अवरुद्ध (EACCES)
pselect कवरेज	❌ 6.1 GKI पर waiter तक नहीं पहुँचा जा सका

三条 KASLR 泄露路线全堵死，提权链无法收敛。

文件说明

फ़ाइल	विवरण
target-OPPO-PKP110.h	OPPO विशिष्ट target.h (BTF सत्यापित ऑफ़सेट)
symbols-OPPO.txt	OPPO कर्नेल की पूर्ण प्रतीक तालिका (110432 प्रतीक)
structs-OPPO.h	OPPO कर्नेल BTF संरचना परिभाषाएँ
preload-tokay-PKP110.so	tokay स्रोत कोड + OPPO ऑफ़सेट संकलित आउटपुट
ghostlock-PKP110	ghostlock-oneplus + OPPO ऑफ़सेट संकलित आउटपुट
perf_leak_test.c	perf लीक परीक्षण (SELinux द्वारा अवरोधन सत्यापित)

修改记录

generate_target.py（6 处修改）

• locate_markers: 全范围回退搜索
• locate_u32_offset_table: 回退搜索
• BTF 同名类型: 严格等价→选第一个
• rt_waiter_node → rt_mutex_waiter 直接字段
• futex 栈帧校验跳过
• FAKE_WAITER_* 硬编码 tokay 验证值

slide.c (3 परिवर्तन)

• open_slide_selected_fds: fd 0-2 छोड़ें (stdout पर dup2 ओवरराइट से बचने के लिए)
• pr_dbg_file जोड़कर सिंक्रनस रूप से डिस्क पर लिखें
• sched_setattr_tid: setpriority मार्ग जोड़ें (SELinux को बायपास करने के लिए)

target.h

• 全部偏移替换为 OPPO BTF 验证值

参考

iQOO Neo9s PRO / iQOO Z10x / vivo X Fold5 独立研究均得出相同结论。

后续方向

• 厂商专有驱动漏洞（GPU/ISP/VPU）
• CVE-2026-64560（需堆风水 + KASLR）
• 等待 2026-03 之后公开的新 CVE

---

归档于 2026-08-22 · 52MB 完整研究包在 Release 中