OPPO Find X6 Pro GhostLock 適応プロジェクト
概要
本プロジェクトでは、OPPO Find X6 Pro (PGEM10) 上での CVE-2026-43499 (GhostLock) 脆弱性の適応研究を行います。
NebuSec CyberMeowfia のオリジナル exploit アーキテクチャに基づき、oppo-ghostlock の適応アプローチを参考にしています。
デバイス情報
| 項目 | 値 |
|---|
| デバイス | OPPO Find X6 Pro (PGEM10) |
| チップ | Snapdragon 8 Gen 2 (SM8550) |
| カーネル | Linux 5.15.149-android13 #1 SMP PREEMPT |
| ビルド日 | Thu Feb 13 2025 |
| Android | 15 (ColorOS 15.0) |
| ROM バージョン | PGEM10_15.0.0.600(CN01) |
| PAC | CONFIG_ARM64_PTR_AUTH_KERNEL=y |
| BTI | CONFIG_ARM64_BTI_KERNEL=y |
| KASLR | CONFIG_RANDOMIZE_BASE=y |
| VA_BITS | 39 |
| VA オフセット | P0_PAGE_OFFSET = 0xffffff8000000000 |
プロジェクト成果サマリー
✅ 完了
❌ ブロック
プロジェクト構造
oppo-pgem10-ghostlock/
├── README.md # 本文件
├── 问题描述.md # 详细问题分析
├── docs/
│ ├── architecture.md # 架构设计与调用链
│ └── adaptation-guide.md # PAC 内核适配指南
├── reports/
│ ├── offsets.md # IDA 偏移验证报告
│ ├── kaslr.md # KASLR 分析报告
│ └── summary.md # 最终总结
├── src/
│ ├── kaslr_perf.h # Perf KASLR 可复用模块
│ └── kaslr_perf.c # Perf KASLR 实现
└── analysis/
└── chains/ # 调用链分析脚本
キー構成の差分 (PGEM10 vs Pixel 10)
CONFIG_ARM64_PTR_AUTH_KERNEL=y # ← 核心差异：PAC 直接导致帧膨胀
CONFIG_ARM64_BTI_KERNEL=y # BTI 进一步增加开销
CONFIG_SHADOW_CALL_STACK=y # SCS 增加栈帧
CONFIG_VMAP_STACK=y # 栈可重映射
CONFIG_KASAN_HW_TAGS=y # 编译启用
CONFIG_ARM64_VA_BITS=39 # 39位VA（非48位）
ブロック根本原因：PAC スタックフレーム膨張
関数 Pixel 10 (PACなし) PGEM10 (PACあり)
__arm64_sys_futex 0x90 0x4C0
do_futex 0x70 0x420
futex_wait_requeue_pi 0x1A0 0x1B0
─────────────────────────────────────────────────
futex チェーン総深さ 0x300 0xA70 ← 3.5倍
pselect スタック深さ 0x620 0x620
オーバーライド可能？ ✅ YES ❌ NO (0xA70 > 0x620)
呼び出しチェーン分析により確認：カーネル内に 0 件 の深さ ≥ 0x800（2048B）の呼び出しチェーン。
最大単一フレーム：0x1F0（496B）。
参考リソース
thiasap/oppo-pgem10-ghostlock
