GhostLock — Jailbreak con Bootloader Bloccato

Exploit del kernel per dispositivi Android con bootloader bloccato. Ottiene root temporaneo + installazione di KernelSU senza sbloccare il bootloader o modificare l'immagine di boot. Rilevamento automatico a runtime della versione del kernel con tabella di offset multi-dispositivo.

Vulnerabilità

CVE-2026-43499 — Futex PI (Priority Inheritance) Use-After-Free

Colpisce il kernel Linux 5.7 ~ 7.1. Corretto nelle versioni stabili 6.1.175, 6.6.140, 6.12.86. La maggior parte dei dispositivi Android rimane senza patch a settembre 2026.

La syscall pselect6 copia i dati fd_set sullo stack del kernel. Se combinata con il meccanismo del waiter futex PI, un frame di stack liberato può essere riutilizzato come struttura rt_mutex_waiter. Il ribilanciamento dell'albero rb durante la traversata della catena PI scrive quindi valori controllati a indirizzi arbitrari del kernel.

Dispositivi Supportati

Verificati Funzionanti

Offset Estratti (in attesa di test sul dispositivo)

Non Realizzabili

L'overlay dello stack pselect richiede che il rt_mutex_waiter liberato ricada nella regione stack_fds controllabile dall'utente (word 0–14). La posizione è determinata dai profili PGO/LTO del compilatore, non dalla versione del kernel. Vedi Layout dello Stack.

Nota sulla fattibilità 6.1: I kernel OPLUS 6.1 sono costantemente non realizzabili a causa dell'inlining PGO di do_futex. Tuttavia, alcuni kernel non-OPLUS 6.1 (vivo) mantengono la catena di chiamate standard e sono realizzabili (vivo T4, X Fold3 Pro). La fattibilità deve essere verificata per ogni singolo dispositivo.

Flusso dell'Exploit

Due percorsi di root, selezionati automaticamente in base alle capacità del dispositivo:

Percorso A: Root UMH (preferito, dispositivi C ashmem)

Richiede off_ashmem_misc_fops != 0 (C ashmem con miscdevice statico in BSS).

Scrittura PI (mode=4)  →  reindirizza i fops del miscdevice a fops falsi
                   →  r/w configfs → physrw tramite pipe (r/w kernel preciso a 1 byte)
                   →  SELinux enforcing = 0 (singolo byte, nessuna corruzione di policycap)
                   →  UMH: inietta work_struct in system_unbound_wq
                   →  script di root → caricamento tardivo ksud → KSU installato

Disponibile su: OnePlus 13, OPPO Pad 4 Pro, dispositivi C ashmem 5.10/6.1. Non disponibile su Rust ashmem (GKI 6.12) — miscdevice allocato su heap.

Percorso B: Scrittura PI Diretta (fallback)

Scrittura 1 (mode=1)  →  SELinux enforcing = 0 (scrittura a 8 byte, corrompe i byte adiacenti)
Scrittura 2 (mode=2)  →  task->cred = init_cred (uid=0, tutte le capability)
Shell di root         →  caricamento tardivo ksud → KSU → correzione policy SELinux

Dopo W1+W2, l'exploit corregge il campo config del binario della policy SELinux (|= 0xC0000000 per ANDROID_NETLINK_ROUTE + GETNEIGH) e lo ricarica tramite /sys/fs/selinux/load per ripristinare la connettività di rete.

Modalità Bootstrap (telefono standalone)

App (seccomp)  →  Scrittura 1 → mini-adb TCP → adb shell: exploit completo → root

Avvio Automatico

Il launcher all'avvio è fornito dalla app GhostLock Anchor separata.

Fattibilità del Layout dello Stack

Con NFDS=320, core_sys_select alloca un buffer stack_fds di 256 byte sullo stack del kernel:

stack_fds:  0    5    10   14 | 15   20   25   29
            ├─in─┤─out─┤─ex──┤ ├res_in┤res_out┤res_ex┤
            ◄── CONTROLLATO DALL'UTENTE ──►│◄── ZERATO DAL KERNEL ──►

L'exploit posiziona campi waiter falsi (task, lock) nelle bitmap di input fd_set. Per il waiter annidato 6.12 (14 word): word waiter massima realizzabile = 3. Per il waiter compatto 5.10/6.1 (10 word): word waiter massima realizzabile = 7.

La posizione del waiter dipende dalla profondità della catena di chiamate:

kernel_phys_load

Tutte le scritture sul kernel usano l'alias della mappa lineare. Il bootloader sceglie kernel_phys_load, che varia in base al SoC:

Un valore errato fallisce silenziosamente. Leggilo su un'unità con root:

su -c 'grep -i "Kernel code" /proc/iomem'   # c7810000-... → 0xc7800000

Override a runtime: KPHYS=0xc7800000 /data/local/tmp/a/e

PSELECT_SHIFT

/data/local/tmp/a/e                        # Default (shift=0)
PSELECT_SHIFT=-2 /data/local/tmp/a/e       # OnePlus 13 (6.6)

KIMAGE_TEXT_BASE

I kernel 5.10 usano 0xffffffc008000000 (VA_BITS=39, diverso dal default 6.x 0xffffffc080000000). Questo viene gestito automaticamente tramite il campo kimage_text_base nella voce di offset del dispositivo.

Build

make NDK_ROOT=/path/to/android-ndk

Oppure direttamente:

NDK=/path/to/android-ndk
"$NDK/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android35-clang" \
  -O2 -Wall -Isrc/core -Isrc/devices -DTARGET_CONFIG_H=\"target.h\" \
  src/core/main.c src/core/util.c src/core/slide.c \
  src/core/fops.c src/core/pipe_physrw.c src/core/root.c \
  src/core/miniadb.c src/core/umh_root.c \
  -o ./ghostlock -fPIE -pie -pthread

Prerequisiti

ksud (richiesto per l'installazione di KSU)

GhostLock fornisce root temporaneo. L'installazione di KernelSU richiede ksud che include kernelsu.ko per ogni versione KMI.

Configurazione

adb shell mkdir -p /data/local/tmp/a
adb push ./ghostlock /data/local/tmp/a/e
adb shell chmod 755 /data/local/tmp/a/e
adb shell /data/local/tmp/a/e

Esegui dopo il completamento dell'avvio e quando ADB è pronto.

Aggiunta di Nuovi Dispositivi

Serve solo boot.img — nessun root, nessun accesso al dispositivo richiesto.

1. Estrai kernel e kallsyms

Vedi guida strumenti kallsyms per il flusso di lavoro completo, oppure:

python tools/extract_target.py --kallsyms kallsyms.txt
python tools/extract_btf.py kernel

2. Determina la fattibilità

Verifica se do_futex è inline PGO cercando nel binario del kernel tutte le istruzioni di branch che puntano a futex_wait_requeue_pi. Se __arm64_sys_futex lo chiama direttamente (bypassando do_futex), il dispositivo probabilmente non è realizzabile.

3. Crea la voce del dispositivo

Aggiungi src/devices/<name>/offsets.h con gli offset estratti e includilo in src/devices/offsets.h. Usa la macro appropriata per gli offset delle strutture:

Per i dispositivi con waiter compatto 5.10/6.1, imposta anche .kimage_text_base=0xffffffc008000000ULL.

File

Licenza

Solo per ricerca di sicurezza autorizzata e scopi educativi.