OPPO Find X6 Pro GhostLock 적응 프로젝트

개요

본 프로젝트는 CVE-2026-43499 (GhostLock) 취약점을 OPPO Find X6 Pro (PGEM10)에 적응시키기 위한 연구입니다.

NebuSec CyberMeowfia 원본 exploit 아키텍처를 기반으로 하며, oppo-ghostlock 적응 방식을 참고했습니다.

장치 정보

항목	값
장치	OPPO Find X6 Pro (PGEM10)
칩	Snapdragon 8 Gen 2 (SM8550)
커널	Linux 5.15.149-android13 #1 SMP PREEMPT
빌드 날짜	Thu Feb 13 2025
Android	15 (ColorOS 15.0)
ROM 버전	PGEM10_15.0.0.600(CN01)
PAC	CONFIG_ARM64_PTR_AUTH_KERNEL=y
BTI	CONFIG_ARM64_BTI_KERNEL=y
KASLR	CONFIG_RANDOMIZE_BASE=y
VA_BITS	39
VA 오프셋	P0_PAGE_OFFSET = 0xffffff8000000000

프로젝트 결과 요약

✅ 완료됨

❌ 차단됨

프로젝트 구조

oppo-pgem10-ghostlock/
├── README.md                      # 본 파일
├── 问题描述.md                     # 상세 문제 분석
├── docs/
│   ├── architecture.md            # 아키텍처 설계 및 호출 체인
│   └── adaptation-guide.md        # PAC 커널 적응 가이드
├── reports/
│   ├── offsets.md                 # IDA 오프셋 검증 보고서
│   ├── kaslr.md                   # KASLR 분석 보고서
│   └── summary.md                 # 최종 요약
├── src/
│   ├── kaslr_perf.h               # Perf KASLR 재사용 가능 모듈
│   └── kaslr_perf.c               # Perf KASLR 구현
└── analysis/
    └── chains/                     # 호출 체인 분석 스크립트

주요 구성 차이 (PGEM10 대 Pixel 10)

CONFIG_ARM64_PTR_AUTH_KERNEL=y    # ← 핵심 차이: PAC가 직접 프레임 팽창 유발
CONFIG_ARM64_BTI_KERNEL=y         # BTI가 오버헤드 추가 증가
CONFIG_SHADOW_CALL_STACK=y        # SCS가 스택 프레임 증가
CONFIG_VMAP_STACK=y               # 스택 재매핑 가능
CONFIG_KASAN_HW_TAGS=y            # 컴파일 시 활성화
CONFIG_ARM64_VA_BITS=39           # 39비트 VA (48비트 아님)

차단 근본 원인: PAC 스택 프레임 팽창

함수                   Pixel 10 (PAC 없음)    PGEM10 (PAC 있음)
__arm64_sys_futex         0x90              0x4C0
do_futex                  0x70              0x420
futex_wait_requeue_pi     0x1A0             0x1B0
─────────────────────────────────────────────────
futex 체인 총 깊이       0x300             0xA70  ← 3.5배
pselect 스택 깊이        0x620             0x620
오버레이 가능?           ✅ YES            ❌ NO (0xA70 > 0x620)

호출 체인 분석 결과: 커널 내 0개의 호출 체인 깊이가 0x800(2048B) 이상. 최대 단일 프레임: 0x1F0(496B).

참고 자료

원본 프로젝트: https://github.com/NebuSec/CyberMeowfia
OPPO Find N2 적응: https://github.com/pubglite55/oppo-ghostlock
NebuSec 연구: https://nebusec.ai/research/ionstack-part-2/
커널 소스 코드: https://github.com/oppo-source/android_kernel_oppo_sm8550
일반 커널 소스 코드: https://github.com/oppo-source/android_kernel_common_oppo_sm8550

Perf KASLR 우회	✅	핵심 돌파 — perf_event_open + callchain 샘플링을 통해 <1초 안에 현재 KASLR 슬라이드 획득
MM_STRUCT_SZ 수정	✅	0x500에서 0x400(1024B)로 수정하여 KernelSnitch 즉시 성공
IDA 오프셋 전체 검증	✅	모든 중요 심볼/구조체/함수를 IDA 교차 검증 완료
FUTEX_CMP_REQUEUE_PI	✅	GhostLock UAF 트리거 성공
ashmem 검증	✅	C ashmem 사용 가능, type confusion 경로 이론적으로 가능
호출 체인 분석	✅	커널 내 호출 체인 깊이가 0x800 이상인 경로 없음 확인
커널 구성 스캔	✅	전체 공격 표면 평가 완료

SLIDE 스택 오버레이	❌	PAC으로 인해 futex 체인 스택 프레임이 0xA70으로 팽창, pselect는 0x620에 불과
fops 오버레이	❌	SLIDE 필요, PAC 차단
type confusion	❌	fops 오버레이에 의존
Pipe physrw	❌	type confusion에 의존
Root	❌	위 체인에 의존

oppo-pgem10-ghostlock

인기