p2p3p/ghostlock-for-oneplus（CVE-2026-43499）ブートローダーがロック解除されていない OnePlus デバイス向けカーネルエクスプロイトプログラム。
ロックされたブートローダーを搭載した OnePlus 端末を対象とするカーネルエクスプロイトです。CVE-2026-43499 を使用して、ブートローダーのロック解除や boot.img の変更なしに root 権限を取得します。
認可されたセキュリティ研究および教育目的のみに使用できます。
| 項目 | 詳細 |
|---|---|
| CVE | CVE-2026-43499 |
| 種別 | Futex PI（優先度継承）Use-After-Free |
| 影響範囲 | Linux kernel 2.6.39 ~ 7.1 |
| 修正バージョン | Mainline 7.1（コミット 3bfdc63936dd） |
| Android の状態 | GKI 6.12.x は依然として脆弱 |
pselect6 システムコールは fd_set をカーネルスタックにコピーします。futex PI ウェイター機構と組み合わせると、解放されたスタックフレームが rt_mutex_waiter 構造体として再割り当てされる可能性があります。PI チェーンの走査中に、rb-tree のリバランス処理によって制御されたデータが任意のカーネルアドレスに書き込まれます。
futex PI UAF (CVE-2026-43499)
├─ Forge rt_mutex_waiter object
├─ Control kernel stack via pselect/select fd_set layout
├─ Trigger rt_mutex PI operation for arbitrary write
├─ Write 1: selinux_state.enforcing = 0
└─ Write 2: cred → init_cred (uid=0, full capabilities)
| デバイス | コードネーム | SoC | カーネル | ファームウェア | ステータス |
|---|---|---|---|---|---|
| OnePlus Ace 6T | PLR110 | SM8845 (Snapdragon 8s Elite) | 6.12.38-android16-5-...-ab14275539-4k | ColorOS 16.0.2.403 | ✅ 検証済み |
| OnePlus Ace 6T | PLR110 | SM8845 (Snapdragon 8s Elite) | 6.12.38-android16-5-...-ab14552068-4k | ColorOS 16.0.8.301 | ✅ 検証済み |
| OnePlus 15 | PLK110 | SM8845 (Snapdragon 8s Elite) | 6.12.23-android16-5-...-ab14541642-4k | — | ✅ 検証済み |
同じ SoC ファミリー、Android 16、またはカーネル 6.12.x を搭載した他の OnePlus 端末は、boot.img のオフセット抽出によって対応できます。
GhostLock は権限昇格を処理します。KernelSU のインストールには ksud が必要です（KMI 固有の kernelsu.ko に同梱されています）。
| 入手元 | 備考 |
|---|---|
| ReSukiSU APK（推奨） | ReSukiSU をインストールしてください。APK には libksud.so がバンドルされています。 |
| CI リリース | ReSukiSU CI からダウンロードします（ksud-aarch64-linux-android.zip） |
ksud がない場合、エクスプロイトは依然として uid=0 の root シェルを取得できますが、KernelSU はインストールされず、
suは永続化されません。
ANDROID_NDK_HOME または ANDROID_NDK_ROOT を設定します。# Default (API 35)
make
# Specify API level
make API=34
# Specify NDK path
NDK=/path/to/android-ndk make
ghostlock — 静的リンクされた ARM64 ELF 実行ファイルです。
# 1. Enable ADB TCP mode
adb tcpip 5555
# 2. Push ADB key (required for bootstrap mode)
adb push ~/.android/adbkey /data/local/tmp/a/adbkey
# 3. Push the exploit
adb push ghostlock /data/local/tmp/a/e
adb shell chmod 755 /data/local/tmp/a/e
初回成功後、
resetpropが自動的にpersist.adb.tcp.port=5555を設定するため、以降の再起動では完全自動実行が可能になります。
/data/local/tmp/a/e
/data/local/tmp/a/e --bootstrap
setprop で ADB TCP 5555 を有効化127.0.0.1:5555 に接続/data/local/tmp/a/e --write1
オフセットは src/devices/offsets.h のルックアップテーブルに格納され、uname -r をキーとします。プログラムは起動時に自動マッチングを行い、未知のカーネルは拒否されます。
static const struct kernel_offsets known_offsets[] = {
OFFSETS_ENTRY("6.12.38-android16-5-...-ab14275539-4k", ...),
OFFSETS_ENTRY("6.12.38-android16-5-...-ab14552068-4k", ...),
OFFSETS_ENTRY("6.12.23-android16-5-...-ab14541642-4k", ...),
{ .uname_r = NULL } /* sentinel */
};
| 種類 | 数 | 抽出方法 |
|---|---|---|
| kallsyms グローバルシンボル | 28 | tools/extract_target.py |
| BTF 構造体フィールド | 57 | tools/extract_btf.py |
| 導出値 | 9 | 自動計算 |
| 固定定数 | 12 | ハードコード |
| 構造体 | フィールド数 | 目的 |
|---|---|---|
task_struct | 17 | プロセス記述子、cred、seccomp |
rt_mutex_waiter | 6 | UAF 偽造対象 |
cred | 4 | 資格情報、ケーパビリティ |
seccomp | 3 | seccomp フィルタの状態 |
pipe_inode_info | 11 | パイプバッファ操作 |
file_operations | 13 | 偽の fops テーブル |
mm_struct | 1 | メモリ記述子の所有者 |
カーネルポインタが制限されている場合（kptr_restrict）、カーネルアドレスで上書きされた boot_id を介してベースアドレスをリークします。
Read /proc/sys/kernel/random/boot_id
└─ UUID contains nfulnl_logger address
└─ KASLR slide = leaked_addr - image_offset
└─ kaslr_base
ashmem デバイスにアクセスできる場合、configfs の読み書きプリミティブを使用して ashmem fops テーブルから関数ポインタを読み取り、KASLR オフセットを計算します。
order-3（32KB）ページ上にカーネルオブジェクトを偽造します。
file_operations — ashmem miscdevice の fops ポインタを乗っ取りますrt_mutex_waiter — PI チェーンのウェイターノードをシミュレートしますtask_struct — PI 走査中のタスク参照rt_mutex（ロック） — 正しいウェイター/オーナー情報SKB（ソケットバッファ） + KernelSnitch を介して実装されます。
mm_struct アドレスのリークsendmsg によるカーネルヒープの充填KASLR ベースを取得した後、パイプバッファを使用して物理レベルでのメモリアクセスを行います。
1. Locate pipe buffer in physmap
2. Forge pipe_buffer ops table pointing to known pipe_buf_ops
3. Hijack pipe_buffer.page to target physical address
4. Arbitrary physical read/write via normal pipe operations
対応: pipe_read64、pipe_write64、pipe_phys_read_data、pipe_phys_write_data
Target: selinux_state.enforcing (offset 0x00)
Method: child-node PI write → forge waiter __rb_parent_color
pointing to selinux_enforcing - 8
rb-tree rebalance writes 0x00
Target: child process cred pointer
Method: 1. fork child → perf_find_task() locate task_struct
2. calculate cred field offset
3. child-node PI write → cred = init_cred (uid=0, full caps)
4. clear seccomp (TIF_SECCOMP + seccomp struct zeroed)
cred の上書き後に、ケーパビリティの読み戻し検証が実行されます。
src/core/miniadb.c — ブートストラップモード用の軽量 ADB プロトコルクライアントです。
1. TCP connect 127.0.0.1:5555
2. A_CNXN → connection request
3. A_AUTH → RSA token challenge
4. dlopen("libcrypto.so") → PEM_read_bio_RSAPrivateKey → RSA_sign
5. A_AUTH (AUTH_SIGNATURE) → signed response
6. A_CNXN → connection established
7. A_OPEN "shell:/data/local/tmp/a/e" → full exploit
SHA-1 および SHA-256 署名アルゴリズムに対応しています。