oppofindN2-ghostlock

GhostLock CVE-2026-43499 — OPPO Find N2 Linux カーネル権限昇格研究

プロジェクト概要

GhostLock (CVE-2026-43499) は、Linux 2.6.39 から 7.1-rc1 に影響するカーネルスタック UAF 脆弱性であり、FUTEX_CMP_REQUEUE_PI 競合状態によってトリガーされます。本プロジェクトは、NebuSec/CyberMeowfia の x86_64 exploit を OPPO Find N2 (ARM64, kernel 5.10.236) に移植したものです。

プロジェクトステータス

イテレーション中 — 複数の攻撃フェーズは検証済みですが、核心的なブロッキングポイント（CFI bypass / カーネル書き込みプリミティブ）はまだ突破されていません。

主な特徴

Firefox CVE-2026-10702 exploit — SpiderMonkey type confusion → AAW
KernelSnitch mm_struct リーク — futex hash timing によるカーネルアドレスのリーク
GhostLock FUTEX トリガー — FUTEX_CMP_REQUEUE_PI ret=0
sk_buff ヒープスプレー — 4/4 send 成功
PR #13 KASLR bypass — kaslr_base を直接計算
IDA Pro による全オフセット検証 — 70+ のカーネルオフセットが検証済み

クイックスタート

環境要件

macOS / Linux (Android NDK が必要)
Android NDK r29
OPPO Find N2 デバイス

ビルドとデプロイ

リポジトリをクローン

git clone https://github.com/pubglite55/oppofindN2-ghostlock.git
cd oppofindN2-ghostlock

NDK パスを設定

export NDK=/usr/local/Caskroom/android-ndk/29/AndroidNDK14206865.app/Contents/NDK

exploit をビルド

cd exploit/
make clean && make NDK=$NDK

デバイスにプッシュ

adb push preload.so /data/local/tmp/

実行

adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/ls /dev/null' 2>&1

リポジトリ構造

oppofindN2-ghostlock/
├── exploit/
│   ├── src/
│   │   ├── main.c              # メインエントリ、GhostLock トリガー
│   │   ├── fops.c              # pselect fake lock + kernel base leak
│   │   ├── pipe.c              # pipe 物理読み書き
│   │   ├── root.c              # root 権限昇格
│   │   ├── util.c              # ユーティリティ関数
│   │   └── kernelsnitch/       # mm_struct リーク
│   ├── targets/                # デバイスオフセット定義
│   └── Makefile
└── README.md

デバイス情報

Phone: OPPO Find N2, serial=84cb96e2
Kernel: 5.10.236-android12-9-o-g74d132f4467a
Build: OPPO/CPH2413/CPH2413:16/UP1A.231005.007/V16.0.12.0.UNFCNXM:user/release-keys
CONFIG_FUTEX_PI=y
CONFIG_UNMAP_KERNEL_AT_EL0=y (KPTI enabled)
kptr_restrict enforced

核心的なブロッキングポイント

pselect が waiter 構造を操作できない — NFDS > 336 の場合 fd_set がヒープ上に配置される
configfs/ashmem が非対応 — ashmem SET_NAME が切り詰められる
その他すべてのカーネル書き込みパスがブロックされている — /proc/self/mem, /dev/mem, binder

ライセンス

本プロジェクトは MIT ライセンスを採用しています。

謝辞

NebuSec/CyberMeowfia — GhostLock exploit のオリジナル実装
NebuSec IonStack Writeup — GhostLock の技術分析
Dere3046/ElevateMe — rb_erase cred 上書きメカニズム

oppo-ghostlock

人気