CVE-2026-43499 — Huawei Nova 9 (NAM-AL00) पर GhostLock

सुरक्षा अनुसंधान: CVE-2026-43499 (GhostLock) का ऑन-डिवाइस सत्यापन और शोषण विश्लेषण Huawei Nova 9 (NAM-AL00, Snapdragon 778G/SM7325, HarmonyOS 4.2.0.185, kernel 5.4.86-qgki) पर।

सारांश

CVE-2026-43499 Linux कर्नेल के rt_mutex सबसिस्टम में एक स्टैक use-after-free है, जो v2.6.39 (2011) में पेश किया गया था। यह रिपॉजिटरी सत्यापित करती है कि यह भेद्यता NAM-AL00 पर HMOS 4.2, SPL 2025-07-01 के साथ नियतात्मक रूप से फायर होती है; यह पूरी शोषण पद्धति का दस्तावेजीकरण करती है, और विश्लेषण करती है कि पूर्ण root प्राप्त क्यों नहीं हुआ।

पुष्टि

• ✅ EDEADLK रोलबैक नियतात्मक रूप से फायर होता है (बग ट्रिगर)
• ✅ KASLR को perf_event कॉलचेन लीक के माध्यम से प्रति-बूट पराजित किया गया
• ✅ पूर्ण प्रतीक पुनर्प्राप्ति (कच्चे Image से 224,986 प्रतीक)
• ✅ दोहरा-प्लांटर डिलीवरी संरेखित सत्यापित (pselect6 + PR_SET_MM_MAP)
• ✅ वॉक जाली waiter फ़ील्ड्स का उपभोग करता है (wedge = डीरेफरेंस का प्रमाण)

प्राप्त नहीं हुआ

• ❌ आर्बिट्ररी राइट प्रमाण (Huawei-संशोधित वॉक सेमेंटिक्स स्वच्छ समापन को रोकते हैं)
• ❌ अस्थायी root (पोस्ट-एग्ज़िट क्लीनअप + इन-वॉक विचलन द्वारा अवरुद्ध)

मुख्य निष्कर्ष

फ़ाइलें

poc/poc_trigger.c      — deterministic EDEADLK trigger (stage-1 PoC)
poc/perf_probe.c       — KASLR slide extraction via perf_event
exploit/stage3_main.c  — integrated pipeline (trigger→plant→punch→oracle)
exploit/escalate.c     — post-write escalation core (cred/sid/seccomp)
exploit/stage2_forge.h — forged rt_mutex_waiter composer
sim/sim_final.py       — Unicorn emulator oracle (offline walk trace)
offsets/offset.h       — all verified symbol addresses & struct layouts
analysis/kernel.config — extracted build configuration
analysis/symbols.txt   — 224,986 recovered kallsyms entries

बिल्ड

# Trigger PoC
${NDK}/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android33-clang \
    -O2 -static -pthread -o poc_trigger poc/poc_trigger.c

# Run on device
adb push poc_trigger /data/local/tmp/
adb shell /data/local/tmp/poc_trigger 10

संदर्भ

• CVE-2026-43499
• Nebula सुरक्षा विश्लेषण
• अनलॉक बूटलोडर के बिना रूट सूची

लाइसेंस

MIT