CVE-2026-43499 (GhostLock) — Honor BVL-AN16 権限昇格研究

Honor Magic6 Pro (BVL-AN16) 向け CVE-2026-43499（GhostLock、rt_mutex stack-UAF）権限昇格研究とアーカイブです。

デバイス

調査結果

本リポジトリは、Honor BVL-AN16 上での CVE-2026-43499 のエクスプロイトに関する完全な試行プロセスと段階的な結論を記録したものです。

1. GhostLock 公式エクスプロイトチェーン（NebuSec writeup 参照）は PR_SET_MM_MAP スタック再利用に依存するが、Honor は prctl_set_mm の capable(CAP_SYS_RESOURCE) チェックを前倒しにしているため、この方法は利用できない。
2. 代替スタック再利用手段（pselect / TCP / kgsl / setsockopt / process_vm）について delta を逐一精密に逆アセンブル検証したが、Honor のスタックフレームレイアウト（CONFIG_RANDOMIZE_KSTACK_OFFSET=y）ではいずれも waiter（深さ 0x1a8）を整列できない。
3. ヒープスプレー方針（skb head による mm_struct order3 slab の再利用）は SLUB のランタイム状態が観測不可能という制約を受け、純粋なソフトウェアによる盲目的調整で 6 つの仮説はすべて除外された。
4. Honor 自社開発モジュール（36 個の vendor_dlkm モジュール）を逆アセンブル走査したが、利用可能な 32 ビットオーバーフローやメモリ安全性の脆弱性は見つからなかった（Android 16 で FORTIFY + KCFI が全面的に有効）。

ディレクトリ構造

.
├── README.md              本文件
├── LICENSE                Apache 2.0（exploit 源码来源仓库）
├── docs/                  分析文档与进展存档
├── scripts/               反汇编 / 分析脚本（123 个，capstone 读 kernel.bin）
├── disasm/                关键函数反汇编产物
├── scan/                  模块扫描结果（攻击面 / 32 位溢出）
├── exploit/               CVE-2026-43499 exploit 源码（含 honor-BVL-AN16 适配）
│   ├── exploit/
│   └── poc/
├── keytest.c              add_key 可用性测试
└── xattrtest.c            setxattr 大小测试

主要な発見の概要

• honor_power_genl.ko（generic netlink 電源メッセージバス）には 32 ビットオーバーフローはないが、snd_portid == nl_target というアクセス制御のハードルがある。
• kgsl スタック再利用の delta は精密に +0x30 と計算されたが、kgsl_ioctl_copy_in は最大 72B のため、fake waiter の lock フィールドをカバーできない。
• add_key（keyctl spray）は SELinux の avc denied {write} tclass=key によりブロックされる。
• setxattr は最大 4096 バイト（ext4/f2fs の xattr 制限）のため、order3 spray はできない。
• 今後の方向性：CVE-2026-64560（posix-cpu-timers UAF）は 6.1.128（≤6.1.179）に影響することを確認済みで、適合可能な完全な exploit が存在する。

帰属

• エクスプロイトソースコードは NebuSec/CyberMeowfia（Apache 2.0）由来。
• GhostLock の脆弱性分析は Nebula Security — IonStack Part II を参照。

免責事項

このリポジトリはセキュリティ研究と学習のみを目的としています。許可されていないデバイスでの使用は行わないでください。エクスプロイトを実行すると、デバイスが文鎮化する、データが破損する、またはシステムが不安定になる可能性があります。