oppo-ghostlock

GhostLock CVE-2026-43499 — Ricerca sull'escalation dei privilegi nel kernel Linux di OPPO Find N2

Panoramica del progetto

GhostLock (CVE-2026-43499) è una vulnerabilità UAF dello stack del kernel che interessa Linux dalla versione 2.6.39 alla 7.1-rc1, innescata tramite una race condition su FUTEX_CMP_REQUEUE_PI. Questo progetto adatta l'exploit x86_64 di NebuSec/CyberMeowfia a OPPO Find N2 (ARM64, kernel 5.10.236).

Stato del progetto

In iterazione — Diverse fasi dell'exploit sono state verificate con successo, ma il punto di blocco principale (bypass CFI / primitiva di scrittura nel kernel) non è stato ancora superato.

Caratteristiche principali

• Exploit Firefox CVE-2026-10702 — type confusion di SpiderMonkey → AAW
• Leak di mm_struct via KernelSnitch — il timing dell'hash futex fa trapelare indirizzi del kernel
• Trigger FUTEX di GhostLock — FUTEX_CMP_REQUEUE_PI ret=0
• Heap spray di sk_buff — 4/4 send riusciti
• Bypass KASLR (PR #13) — calcolo diretto di kaslr_base
• Verifica completa degli offset con IDA Pro — oltre 70 offset del kernel verificati

Avvio rapido

Requisiti di sistema

• macOS / Linux (richiede Android NDK)
• Android NDK r29
• Dispositivo OPPO Find N2

Compilazione e deployment

# 1. Clona il repository
git clone https://github.com/pubglite55/oppo-ghostlock.git
cd oppo-ghostlock

# 2. Imposta il percorso NDK
export NDK=/usr/local/Caskroom/android-ndk/29/AndroidNDK14206865.app/Contents/NDK

# 3. Compila l'exploit
cd exploit/
make clean && make NDK=$NDK

# 4. Invia al dispositivo
adb push preload.so /data/local/tmp/

# 5. Esegui
adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/ls /dev/null' 2>&1

Struttura del repository

oppo-ghostlock/
├── exploit/
│   ├── src/
│   │   ├── main.c              # punto di ingresso principale, trigger GhostLock
│   │   ├── fops.c              # pselect fake lock + leak della base del kernel
│   │   ├── pipe.c              # lettura/scrittura fisica tramite pipe
│   │   ├── root.c              # escalation a root
│   │   ├── util.c              # funzioni di utilità
│   │   └── kernelsnitch/       # leak di mm_struct
│   ├── targets/                # definizioni degli offset del dispositivo
│   └── Makefile
└── README.md

Informazioni sul dispositivo

• Telefono: OPPO Find N2, serial=84cb96e2
• Kernel: 5.10.236-android12-9-o-g74d132f4467a
• Build: OPPO/CPH2413/CPH2413:16/UP1A.231005.007/V16.0.12.0.UNFCNXM:user/release-keys
• CONFIG_FUTEX_PI=y
• CONFIG_UNMAP_KERNEL_AT_EL0=y (KPTI abilitato)
• kptr_restrict applicato

Blocchi principali

1. pselect non riesce a manipolare la struttura waiter — con NFDS > 336, fd_set si trova sullo heap
2. configfs/ashmem non supportati — ashmem SET_NAME viene troncato
3. Tutti gli altri percorsi di scrittura nel kernel sono bloccati — /proc/self/mem, /dev/mem, binder

Licenza

Questo progetto è distribuito con licenza MIT.

Ringraziamenti

• NebuSec/CyberMeowfia — implementazione originale dell'exploit GhostLock
• NebuSec IonStack Writeup — analisi tecnica di GhostLock
• Dere3046/ElevateMe — meccanismo di sovrascrittura di cred tramite rb_erase