oppo-ghostlock

GhostLock CVE-2026-43499 — OPPO Find N2 Linux 커널 권한 상승 연구

프로젝트 개요

GhostLock (CVE-2026-43499)은 Linux 2.6.39부터 7.1-rc1까지 영향을 주는 커널 스택 UAF 취약점으로, FUTEX_CMP_REQUEUE_PI 경쟁 조건을 통해 트리거됩니다. 이 프로젝트는 NebuSec/CyberMeowfia의 x86_64 익스플로잇을 OPPO Find N2 (ARM64, kernel 5.10.236)에 포팅합니다.

프로젝트 상태

개발 진행 중 — 여러 익스플로잇 단계가 검증을 통과했지만, 핵심 병목 지점(CFI 우회 / 커널 쓰기 프리미티브)은 아직 돌파하지 못했습니다.

핵심 기능

• Firefox CVE-2026-10702 exploit — SpiderMonkey type confusion → AAW
• KernelSnitch mm_struct 누출 — futex hash timing으로 커널 주소 누출
• GhostLock FUTEX 트리거 — FUTEX_CMP_REQUEUE_PI ret=0
• sk_buff 힙 스프레이 — 4/4 send 성공
• PR #13 KASLR 우회 — kaslr_base 직접 계산
• IDA Pro 전체 오프셋 검증 — 70+ 커널 오프셋 검증 통과

빠른 시작

환경 요구 사항

• macOS / Linux (Android NDK 필요)
• Android NDK r29
• OPPO Find N2 기기

컴파일 및 배포

# 1. 저장소 클론
git clone https://github.com/pubglite55/oppo-ghostlock.git
cd oppo-ghostlock

# 2. NDK 경로 설정
export NDK=/usr/local/Caskroom/android-ndk/29/AndroidNDK14206865.app/Contents/NDK

# 3. 익스플로잇 컴파일
cd exploit/
make clean && make NDK=$NDK

# 4. 기기로 푸시
adb push preload.so /data/local/tmp/

# 5. 실행
adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/ls /dev/null' 2>&1

저장소 구조

oppo-ghostlock/
├── exploit/
│   ├── src/
│   │   ├── main.c              # 메인 진입점, GhostLock 트리거
│   │   ├── fops.c              # pselect fake lock + kernel base leak
│   │   ├── pipe.c              # pipe 물리적 읽기/쓰기
│   │   ├── root.c              # root 권한 상승
│   │   ├── util.c              # 유틸리티 함수
│   │   └── kernelsnitch/       # mm_struct 누출
│   ├── targets/                # 기기 오프셋 정의
│   └── Makefile
└── README.md

기기 정보

• Phone: OPPO Find N2, serial=84cb96e2
• Kernel: 5.10.236-android12-9-o-g74d132f4467a
• Build: OPPO/CPH2413/CPH2413:16/UP1A.231005.007/V16.0.12.0.UNFCNXM:user/release-keys
• CONFIG_FUTEX_PI=y
• CONFIG_UNMAP_KERNEL_AT_EL0=y (KPTI enabled)
• kptr_restrict enforced

핵심 병목

1. pselect가 waiter 구조를 조작할 수 없음 — NFDS > 336이면 fd_set이 힙에 위치
2. configfs/ashmem 미지원 — ashmem SET_NAME이 잘림
3. 다른 모든 커널 쓰기 경로 차단 — /proc/self/mem, /dev/mem, binder

라이선스

이 프로젝트는 MIT 라이선스를 따릅니다.

감사의 글

• NebuSec/CyberMeowfia — GhostLock 익스플로잇 원본 구현
• NebuSec IonStack Writeup — GhostLock 기술 분석
• Dere3046/ElevateMe — rb_erase cred 덮어쓰기 메커니즘