oppo-ghostlock

GhostLock CVE-2026-43499 — OPPO Find N2 Linux カーネル権限昇格の研究

プロジェクト概要

GhostLock (CVE-2026-43499) は Linux 2.6.39 から 7.1-rc1 に影響するカーネルスタック UAF 脆弱性であり、FUTEX_CMP_REQUEUE_PI の競合状態によって引き起こされます。このプロジェクトは、NebuSec/CyberMeowfia の x86_64 exploit を OPPO Find N2 (ARM64, kernel 5.10.236) に移植します。

プロジェクトの状態

開発進行中 — 複数のエクスプロイト段階は検証済みですが、核心的なボトルネック（CFI bypass / カーネル書き込みプリミティブ）はまだ突破されていません。

主な特徴

• Firefox CVE-2026-10702 exploit — SpiderMonkey type confusion → AAW
• KernelSnitch mm_struct リーク — futex hash timing によるカーネルアドレスリーク
• GhostLock FUTEX トリガー — FUTEX_CMP_REQUEUE_PI ret=0
• sk_buff ヒープスプレー — 4/4 send 成功
• PR #13 KASLR bypass — kaslr_base を直接計算
• IDA Pro による全オフセット検証 — 70+ のカーネルオフセットが検証済み

クイックスタート

環境要件

• macOS / Linux (Android NDK が必要)
• Android NDK r29
• OPPO Find N2 デバイス

コンパイルとデプロイ

# 1. 克隆仓库
git clone https://github.com/pubglite55/oppo-ghostlock.git
cd oppo-ghostlock

# 2. 设置 NDK 路径
export NDK=/usr/local/Caskroom/android-ndk/29/AndroidNDK14206865.app/Contents/NDK

# 3. 编译 exploit
cd exploit/
make clean && make NDK=$NDK

# 4. 推送到设备
adb push preload.so /data/local/tmp/

# 5. 运行
adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/ls /dev/null' 2>&1

リポジトリ構造

oppo-ghostlock/
├── exploit/
│   ├── src/
│   │   ├── main.c              # 主入口，GhostLock 触发
│   │   ├── fops.c              # pselect fake lock + kernel base leak
│   │   ├── pipe.c              # pipe 物理读写
│   │   ├── root.c              # root 提权
│   │   ├── util.c              # 工具函数
│   │   └── kernelsnitch/       # mm_struct 泄漏
│   ├── targets/                # 设备偏移定义
│   └── Makefile
└── README.md

デバイス情報

• Phone: OPPO Find N2, serial=84cb96e2
• Kernel: 5.10.236-android12-9-o-g74d132f4467a
• Build: OPPO/CPH2413/CPH2413:16/UP1A.231005.007/V16.0.12.0.UNFCNXM:user/release-keys
• CONFIG_FUTEX_PI=y
• CONFIG_UNMAP_KERNEL_AT_EL0=y (KPTI enabled)
• kptr_restrict enforced

核心的な障害

1. pselect は waiter 構造体を操作できない — NFDS > 336 の場合、fd_set はヒープ上にある
2. configfs/ashmem は非対応 — ashmem SET_NAME は切り詰められる
3. 他のすべてのカーネル書き込み経路がブロックされている — /proc/self/mem, /dev/mem, binder

ライセンス

このプロジェクトは MIT ライセンス を採用しています。

謝辞

• NebuSec/CyberMeowfia — GhostLock exploit のオリジナル実装
• NebuSec IonStack Writeup — GhostLock の技術分析
• Dere3046/ElevateMe — rb_erase cred 上書きメカニズム