asus-i005-cve-2026-43499

Studio di adattamento di CVE-2026-43499 (GhostLock) su ASUS ROG Phone 5S (ASUS_I005).

Conclusione: attivazione della vulnerabilità e recupero dello stack completamente verificati; la catena di escalation dei privilegi non è stata completata a causa della profondità insufficiente di sovrascrittura dello stack.

Nello specifico:

• Stage 0~1.6 tutti verificati con successo (attivazione, recupero dello stack, leak dell'indirizzo dello stack)
• La primitiva di scrittura dello Stage 2 richiede la sovrascrittura di waiter+0x28..0x40 (pi_tree_entry.rb_left e lock)
• pselect nfds=320 copre solo fino a waiter+0x27
• Non è stato trovato alcun vettore di recupero dello stack con copertura più profonda (esauriti oltre 40 syscall candidati)
• Anche tutte le sorgenti di leak KASLR di i005 sono state bloccate

Per l'analisi dettagliata vedere docs/05-limitations.md.

TL;DR

Fase	Contenuto	Stato
0	Attivazione UAF (3 thread + CMP_REQUEUE_PI)	✅
1	Recupero stack pselect timeout=0 (shift=10)	✅
1.6	Perdita SP dello stack kernel W (perf PERF_SAMPLE_REGS_INTR)	✅
2	Scrittura su indirizzo arbitrario (richiede KASLR slide)	❌
—	KASLR leak (tutte le 8 sorgenti fallite)	❌

Dispositivo target

Voce	Valore
Dispositivo	ASUS ROG Phone 5S (ASUS_I005)
SoC	Snapdragon 888 (SM8350)
Android	13
Kernel	5.4.210-qgki-perf-gc89cd02a7dfe arm64
SELinux	Enforcing (u:r🐚s0)
CapEff	0

Panoramica della vulnerabilità

CVE-2026-43499 (GhostLock) è una UAF dello stack nel sottosistema rtmutex del kernel Linux. remove_waiter() utilizza current invece di waiter->task nel percorso di rollback del proxy lock, provocando un puntatore pendente residuo in task_struct->pi_blocked_on.

Risultati chiave

1. Recupero dello stack con pselect timeout=0 (originale)

• pselect timeout>0 → do_select → schedule → pi_blocked_on pendente viene attraversato → deadlock
• con timeout=0 end_time=NULL, do_select ritorna immediatamente, ma _copy_from_user viene comunque eseguito
• nfds=320 → singola copia da 40 byte → core_sys_select usa stack_fds sullo stack
• l'inizio di ex fd_set è esattamente allineato all'inizio di waiter → PSELECT_WAITER_WORD_SHIFT = 10

2. Leak dell'indirizzo dello stack del kernel W

• perf_event_open(pid=W_tid) + PERF_SAMPLE_REGS_INTR(SP)
• filtro stack IRQ → 41 campioni reali dello stack W tutti uguali
• allineamento a 16KB → sp_top → fake_waiter = sp_top - 0x1b0

3. Punto di blocco — la configurazione hardened di i005 resiste a tutti i leak KASLR

Vedere docs/05-limitations.md:

• kptr_restrict=2
• perf hardware su arm64 registra il PC dell'ingresso vettoriale EL0→EL1 (overflow delayed)
• perf_event_open(system-wide/kworker) EACCES
• bpf() EACCES
• /proc/{kallsyms,timer_list,self/stack} EACCES
• /sys/module/*/sections EACCES

Struttura delle directory

• docs/ documenti di analisi e cronologia
  • 06-research-snapshot.md snapshot completo della ricerca
  • 07-iteration-log.md registro delle versioni fallite
  • disasm/ frammenti di disassemblaggio chiave
  • recon/ output di ricognizione
• include/ tabella dei simboli + offset delle strutture
• src/ codice sorgente del PoC (vedere src/README.md)
• scripts/ script di analisi
• logs/ log di esecuzione (non inclusi in git)

Riproduzione

# 1. Estrarre simboli e offset (richiede vmlinux compilato dal codice sorgente del kernel ufficiale ASUS)
./scripts/extract_symbols.sh
./scripts/gen_symbols_h.sh
./scripts/extract_offsets.sh

# 2. Compilazione Stage 0
aarch64-linux-gnu-gcc -static -O2 -pthread \
  -o ~/tmp/work/bin/poc_stage0_trigger src/poc_stage0_trigger.c

# 3. Esecuzione sul dispositivo (richiede adb shell verso il dispositivo di destinazione)
adb shell /data/local/tmp/poc_stage0_trigger
Toolchain: aarch64-linux-gnu-gcc -static -O2 -pthread

Riferimenti

· gitchw/ghostlock-cve-2026-43499        Huawei Watch 4 Pro, 5.4.210 (ARM32)
· ccp-p/ghostlock-cve-2026-43499-4.19-k40  Redmi K40, 4.19.157 (aarch64)
· JoinChang/ghostlock-oneplus              vari dispositivi OnePlus, fattibilità del layout dello stack
· knowlily/cve-2026-43499-honor            analisi dei fallimenti su Honor

Dichiarazione di non responsabilità

Solo per ricerca sulla sicurezza. Non utilizzare su dispositivi non autorizzati.