CVE-2026-43499 (GhostLock) — Archivio di ricerca sull'adattamento della vulnerabilità CVE-2026-43499

Dispositivo: OPPO PKP110 (OP5DF3) · Kernel 6.1.134-android14-11-o · Android 16 (SDK 36) Periodo di ricerca: 2026-08-20 ~ 2026-08-22

Conclusione finale

La catena di exploit di CVE-2026-43499 non può convergere su ambiente rafforzato 6.1 GKI + Android 14/15/16.

Causa principale della morte: la catena PI non passa attraverso la pagina di spray (ricerca iQOO Neo9s PRO verifica indipendente)

• il rt_mutex_waiter creato da futex_wait_requeue_pi si trova sullo stack del kernel
• pi_blocked_on punta a un rt_mutex allocato internamente al kernel
• il fake waiter/lock spruzzato da KernelSnitch non partecipa all'attraversamento della catena PI
• di conseguenza rb_erase non scrive nel target controllato dall'attaccante (boot_id ecc.)

Risultati dell'adattamento

Voce	Risultato
Offset delle strutture	✅ Tutti verificati correttamente tramite BTF
setpriority in sostituzione di sched_setattr	✅ Risolve l'intercettazione di SELinux, non va più in crash
Catena completa funzionante	✅ KernelSnitch + heap spray SKB + trigger punch (calls=1)
Correzione dell'indirezione di boot_id	✅ 0x2139958 → 0x237e188
perf_event_open	❌ Intercettato da SELinux (EACCES)
Copertura pselect	❌ Su 6.1 GKI non si raggiunge il waiter

Tutte e tre le vie di fuga KASLR sono bloccate, la catena di escalation dei privilegi non può convergere.

Descrizione dei file

File	Descrizione
target-OPPO-PKP110.h	target.h specifico per OPPO (offset verificati tramite BTF)
symbols-OPPO.txt	Tabella completa dei simboli del kernel OPPO (110432 simboli)
structs-OPPO.h	Definizioni delle strutture BTF del kernel OPPO
preload-tokay-PKP110.so	Sorgente tokay + prodotto di compilazione con offset OPPO
ghostlock-PKP110	ghostlock-oneplus + prodotto di compilazione con offset OPPO
perf_leak_test.c	Test di leak perf (verifica dell'intercettazione da parte di SELinux)

Registro delle modifiche

generate_target.py (6 modifiche)

• locate_markers: ricerca con fallback su tutto l'intervallo
• locate_u32_offset_table: ricerca con fallback
• Tipi BTF con lo stesso nome: equivalenza rigorosa → seleziona il primo
• rt_waiter_node → campo diretto rt_mutex_waiter
• Salto della verifica dello stack frame futex
• FAKE_WAITER_* valori di verifica tokay codificati in modo fisso

slide.c (3 modifiche)

• open_slide_selected_fds: salta fd 0-2 (per evitare che dup2 sovrascriva stdout)
• aggiunto pr_dbg_file per la scrittura sincrona su disco
• sched_setattr_tid: aggiunto il percorso setpriority (per aggirare SELinux)

target.h

• Tutti gli offset sostituiti con i valori verificati OPPO BTF

Riferimenti

Ricerche indipendenti su iQOO Neo9s PRO / iQOO Z10x / vivo X Fold5 hanno tutte raggiunto la stessa conclusione.

Direzioni future

• Vulnerabilità nei driver proprietari dei produttori (GPU/ISP/VPU)
• CVE-2026-64560 (richiede heap feng shui + KASLR)
• Attendere nuove CVE pubblicate dopo il 2026-03

---

Archiviato il 2026-08-22 · pacchetto di ricerca completo da 52MB disponibile nella Release