GhostLock SELinux Disabler

Write-1-only 抽出版 JoinChang/ghostlock-oneplus （CVE-2026-43499 対象）。 ロックされたブートローダーを持つ、対応済み脆弱性のある OnePlus カーネル上で SELinux の enforcing を無効にし、それ以外は何もしません。cred の上書き、root シェル、KernelSU、bootstrap、KASLR リークは行いません。

脆弱性

CVE-2026-43499 は、futex PI requeue パスにおける Linux カーネルの rtmutex use-after-free です。プロキシロックのロールバック時に、remove_waiter() がウェイターのタスクではなく current に対して動作し、ウェイターの pi_blocked_on ポインタが宙ぶらりんになります。Linux 6.12.86 以降の 6.12 リリースで上流修正済みです。

動作

単一の子ノード PI 書き込み:

fake_right = base + 0x100   ->  byte0 = 0 (enforcing), byte1 = 1

完全版エクスプロイトのヒープスプレー + pselect PI ルートを再利用しますが、KASLR をバイパスします（kaslr_slide = 0）。最大 20 回再試行し（試行間にスラブドレインを実行）、/sys/fs/selinux/enforce が 0 を読み取ると終了します。

完全版エクスプロイトから削除されたもの

共有プリミティブ（util.c のヒープスプレー、fops.c の pselect ルート、kernelsnitch、オフセットテーブル）は保持されます。

テスト済みカーネル

src/devices/offsets.h を参照。uname -r で識別:

• OnePlus Ace 6T — 6.12.38-android16-5-...-ab14275539-4k
• OnePlus Ace 6T — 6.12.38-android16-5-...-ab14552068-4k
• OnePlus 15 — 6.12.23-android16-5-...-ab14541642-4k（オフセットのみ、未確認）

ビルド

make            # /opt/android-ndk（または $ANDROID_NDK_HOME）を使用

Android API 35 用の aarch64 PIE である selinux_disabler を生成します。

使用方法

adb push selinux_disabler /data/local/tmp/a/e && chmod 755 /data/local/tmp/a/e
adb shell /data/local/tmp/a/e

確認:

adb shell cat /sys/fs/selinux/enforce   # -> 0

デバイスの追加

必要なのは boot.img のみです。上流プロジェクトの tools ディレクトリ にある抽出ユーティリティを使用し、src/devices/<device>/offsets.h 以下にエントリを追加し、src/devices/offsets.h から #include してください。

ライセンス

承認されたセキュリティ研究および教育目的に限ります。