CVE-2026-43499 (GhostLock) — CVE-2026-43499 취약점 적응 연구 아카이브

기기: OPPO PKP110 (OP5DF3) · 커널 6.1.134-android14-11-o · Android 16 (SDK 36) 연구 기간: 2026-08-20 ~ 2026-08-22

최종 결론

CVE-2026-43499는 6.1 GKI + Android 14/15/16 강화 환경에서 익스플로잇 체인이 수렴할 수 없다.

핵심 사인: PI 체인이 스프레이 페이지를 거치지 않음 (iQOO Neo9s PRO 연구로 독립 검증)

• futex_wait_requeue_pi가 생성한 rt_mutex_waiter는 커널 스택에 있음
• pi_blocked_on은 커널 내부에서 할당된 rt_mutex를 가리킴
• KernelSnitch가 스프레이한 fake waiter/lock은 PI 체인 순회에 참여하지 않음
• 이로 인해 rb_erase가 공격자가 제어하는 대상(boot_id 등)에 쓰지 못함

적응 성과

항목	결과
구조체 오프셋	✅ BTF 전부 검증 정확
setpriority로 sched_setattr 대체	✅ SELinux 차단 해결, 더 이상 크래시 없음
전체 체인 동작	✅ KernelSnitch + SKB 힙 스프레이 + punch 트리거 (calls=1)
boot_id 간접 참조 수정	✅ 0x2139958 → 0x237e188
perf_event_open	❌ SELinux에 의해 차단됨 (EACCES)
pselect 덮어쓰기	❌ 6.1 GKI에서 waiter에 접근 불가

세 가지 KASLR 유출 경로가 모두 차단되어 권한 상승 체인이 수렴할 수 없다.

파일 설명

파일	설명
target-OPPO-PKP110.h	OPPO 전용 target.h (BTF 검증 오프셋)
symbols-OPPO.txt	OPPO 커널 전체 심볼 테이블 (110432 심볼)
structs-OPPO.h	OPPO 커널 BTF 구조체 정의
preload-tokay-PKP110.so	tokay 소스 + OPPO 오프셋 컴파일 산출물
ghostlock-PKP110	ghostlock-oneplus + OPPO 오프셋 컴파일 산출물
perf_leak_test.c	perf 누출 테스트 (SELinux 차단 검증)

수정 기록

generate_target.py (6곳 수정)

• locate_markers: 전체 범위 폴백 검색
• locate_u32_offset_table: 폴백 검색
• BTF 동명 타입: 엄격한 동등성→첫 번째 선택
• rt_waiter_node → rt_mutex_waiter 직접 필드
• futex 스택 프레임 검증 건너뛰기
• FAKE_WAITER_* 하드코딩된 tokay 검증 값

slide.c (3곳 수정)

• open_slide_selected_fds: fd 0-2 건너뛰기 (dup2가 stdout을 덮어쓰는 것 방지)
• pr_dbg_file 추가로 동기적 디스크 기록
• sched_setattr_tid: setpriority 경로 추가 (SELinux 우회)

target.h

• 모든 오프셋을 OPPO BTF 검증 값으로 교체

참고

iQOO Neo9s PRO / iQOO Z10x / vivo X Fold5 독립 연구 모두 동일한 결론에 도달했다.

후속 방향

• 벤더 전용 드라이버 취약점 (GPU/ISP/VPU)
• CVE-2026-64560 (힙 풍수 + KASLR 필요)
• 2026-03 이후 공개되는 새로운 CVE 대기

---

2026-08-22 아카이브됨 · 52MB 전체 연구 패키지는 Release에 있음