CVE-2026-43499 (GhostLock) — CVE-2026-43499 脆弱性適配研究アーカイブ

デバイス：OPPO PKP110 (OP5DF3) · カーネル 6.1.134-android14-11-o · Android 16 (SDK 36) 調査期間：2026-08-20 ~ 2026-08-22

最終結論

CVE-2026-43499 は 6.1 GKI + Android 14/15/16 の強化環境上ではエクスプロイトチェーンを収束させることができない。

核心死因：PI 链不经过喷射页（iQOO Neo9s PRO 研究独立验证）

• futex_wait_requeue_pi 创建的 rt_mutex_waiter 在内核栈上
• pi_blocked_on 指向内核内部分配的 rt_mutex
• KernelSnitch 喷射的 fake waiter/lock 不参与 PI 链遍历
• 导致 rb_erase 写不到攻击者控制的目标（boot_id 等）

適配成果

项	结果
结构体偏移	✅ BTF 全部验证正确
setpriority 替代 sched_setattr	✅ 解决 SELinux 拦截，不再崩溃
全链路跑通	✅ KernelSnitch + SKB 堆喷 + punch 触发 (calls=1)
boot_id 间址修正	✅ 0x2139958 → 0x237e188
perf_event_open	❌ 被 SELinux 拦截 (EACCES)
pselect 覆盖	❌ 6.1 GKI 上碰不到 waiter

3 つの KASLR リーク経路はすべて封鎖され、権限昇格チェーンを収束させることができない。

ファイル説明

文件	说明
target-OPPO-PKP110.h	OPPO 专属 target.h（BTF 验证偏移）
symbols-OPPO.txt	OPPO 内核完整符号表 (110432 符号)
structs-OPPO.h	OPPO 内核 BTF 结构体定义
preload-tokay-PKP110.so	tokay 源码 + OPPO 偏移编译产物
ghostlock-PKP110	ghostlock-oneplus + OPPO 偏移编译产物
perf_leak_test.c	perf 泄露测试（验证被 SELinux 拦截）

変更履歴

generate_target.py（6 箇所の変更）

• locate_markers: 全範囲フォールバック検索
• locate_u32_offset_table: フォールバック検索
• BTF 同名型: 厳密等価→最初のものを選択
• rt_waiter_node → rt_mutex_waiter 直接フィールド
• futex スタックフレーム検証をスキップ
• FAKE_WAITER_* を tokay 検証値にハードコード

slide.c（3 处修改）

• open_slide_selected_fds: 跳过 fd 0-2（避免 dup2 覆盖 stdout）
• 加 pr_dbg_file 同步落盘
• sched_setattr_tid: 加 setpriority 路线（绕 SELinux）

target.h

• すべてのオフセットを OPPO BTF 検証値に置換

参考

iQOO Neo9s PRO / iQOO Z10x / vivo X Fold5 の独立研究はいずれも同じ結論に達した。

今後の方向性

• ベンダー専用ドライバの脆弱性（GPU/ISP/VPU）
• CVE-2026-64560（ヒープフェンシング + KASLR が必要）
• 2026-03 以降に公開される新規 CVE を待つ

---

2026-08-22 にアーカイブ · 52MB の完全な研究パッケージは Release 内