Resumo da Falha de Exploração do GhostLock no PD2229 (SM8475, 5.10.233 GKI)

一、Fatos sobre a Vulnerabilidade e o Dispositivo

1.1 Informações Básicas do CVE-2026-43499 (GhostLock)

Item	Valor
Tipo de vulnerabilidade	Use-After-Free na pilha no caminho rt_mutex / futex PI
Versão introduzida	Linux 2.6.39-rc1 (maio de 2011, commit 8161239a8bcc)
Versão corrigida	mainline 7.1 (commit 3bfdc63936dd), ramos estáveis: 6.1.175 / 6.6.140 / 6.12.86 / 6.18.27 / 7.0.4
Pré-requisito	`CONFIG_FUTEX_PI=y` (ativado por padrão nos kernels convencionais)
CVSS	7.8 Alta
Estabilidade da exploração	97% na cadeia original da NebuSec, root em ~5 segundos
Recompensa kernelCTF	US$ 92.337

Faixa de kernels afetados:

2.6.39 ≤ Linux < 6.1.175 ✅ Afetado
6.2 ≤ Linux < 6.6.140 ✅ Afetado
6.7 ≤ Linux < 6.12.86 ✅ Afetado
6.13 ≤ Linux < 6.18.27 ✅ Afetado
6.19 ≤ Linux < 7.0.4 ✅ Afetado
Android GKI 5.10 não está em nenhum ramo de correção → 5.10.233 do PD2229 teoricamente afetado

1.2 Testes reais no dispositivo PD2229

Item	Valor
SoC	Qualcomm SM8475 (Snapdragon 8 Gen 1 Plus)
Versão do kernel	5.10.233-gki-g6e61de9f5b58 #1 SMP PREEMPT (24 de nov. de 2025)
Versão do Android	15 (OriginOS 5)
Data de compilação	25/11/2025
Patch do Android	01/11/2025
`CONFIG_FUTEX_PI`	y ✅
`CONFIG_UNMAP_KERNEL_AT_EL0`	y (KPTI ativado)
`kptr_restrict`	aplicado
`CONFIG_IO_URING`	y ✅ (confirmado por símbolos vmlinux, e o seccomp não bloqueia `io_uring_setup`)

二、Cadeia de exploração ideal vs. progresso real no PD2229

2.1 Cadeia original da NebuSec (bem-sucedida em x86_64 / Pixel 10)

1. Bypass do KASLR        → timing de prefetch / PR_SET_MM_MAP auxv
2. Gatilho do UAF         → deadlock de dependência PI de três threads → FUTEX_CMP_REQUEUE_PI retorna -EDEADLK
3. Reciclagem da pilha    → PR_SET_MM_MAP copia auxv para o frame da pilha do waiter
4. Escrita restrita rb_erase → sobrescreve inet6_protos[IPPROTO_UDP]
5. CEA + ROP              → sequestro do fluxo de controle
6. Inversão do core_pattern → shell root (97% de sucesso)

2.2 Progresso real de cada etapa no PD2229

Etapa	Status	Descrição
1. Bypass do KASLR	✅ Implementado	Canal lateral `perf_event_open` + amostragem de callchain (mesmo método de adaptação do OPPO Find X6 Pro 5.15.149)
2. Gatilho do UAF	✅ Implementado	Deadlock PI de três threads bem-sucedido, FUTEX_CMP_REQUEUE_PI retorna -EDEADLK
3. Primitiva de reciclagem da pilha	❌ Falha arquitetural	Os frames de pilha de todas as syscalls conhecidas não se sobrepõem ao waiter (ver Seção 3)
4. Escrita restrita rb_erase	❌ Bloqueada	Pré-requisitos não atendidos
5. Sobrescrita do inet6_protos	❌ Não iniciada	Depende da etapa 4
6. ROP / sequestro do fluxo de controle	❌ Não iniciada	Depende da etapa 5
7. shell root	❌ Não iniciada	Depende da etapa 6

三、Resultados da enumeração exaustiva da primitiva de reciclagem da pilha (testes reais no PD2229)

3.1 Cálculos-chave do layout do frame de pilha

Profundidade total do caminho futex:
  __arm64_sys_futex    0x90
  + do_futex           0xc0
  + futex_wait_requeue_pi  0x1b0
  = 0x300
Posição do waiter = SYS_SP - 0x300 + 0x20 = SYS_SP - 0x2e0

Caminho pselect:
  frame de pilha core_sys_select 0x1c0, stack_fds em sp+0x50
  Intervalo coberto: SYS_SP - 0x1c0 + 0x50 = a partir de SYS_SP - 0x170
  Diferença para o waiter (SYS_SP - 0x2e0) é 0x170 (368 bytes) → sem sobreposição

3.2 17 métodos de escrita na pilha testados

#	Método	Syscall	Resultado no PD2229	Motivo principal da falha
1	`stamp_prctl`	`PR_SET_MM_MAP`	❌ EPERM	Bloqueio rígido do Android
2	`stamp_pselect`	`pselect6` (NFDS=320)	❌ Sem sobreposição	waiter 120B abaixo do fd_set
3	`stamp_pselect`	`pselect6` (NFDS>336)	❌ Alocação no heap	Caminho kvmalloc
4	`stamp_socket`	`MCAST_JOIN_SOURCE_GROUP`	❌ Cobertura insuficiente	Escreve apenas o campo `lock`
5	`stamp_sendmsg`	`sendmsg`	❌ 80B do waiter	Profundidade do frame 0x90 insuficiente
6	`stamp_sendmmsg`	`sendmmsg`	❌ 112B do waiter	Frame de pilha insuficiente
7	`stamp_recvmmsg`	`recvmmsg`	❌ Zera task/lock	Frame 0x1d0 corrompe ponteiros críticos
8	`stamp_process_vm`	`process_vm_writev`	❌ Sem sobreposição	Pilha da thread filha alocada separadamente
9	`stamp_keyctl`	`KEYCTL_INSTANTIATE_IOV`	❌ EOPNOTSUPP	Syscall não suportada + frame 0x40
10	`stamp_tcp`	`TCP_ZEROCOPY_RECEIVE`	❌ Frame insuficiente	Profundidade estimada insuficiente
11	`stamp_futex`	`FUTEX_CMP_REQUEUE_PI` recursivo	❌ Logicamente inviável	Corrompe a janela do UAF
12	binder ioctl	`BINDER_WRITE_READ`	❌ EACCES	shell sem permissão em /dev/binder
13	`poll`	`poll`	❌ Alocação no heap	pollfd no heap
14	`epoll_wait`	`epoll_wait`	❌ Frame muito raso	Frame de pilha 0xE0
15	`sched_setattr`	`sched_setattr`	❌ Profundidade insuficiente	Frame de pilha 0xb0
16	`timerfd_settime`	`timerfd_settime`	❌ Sem cópia na pilha	Sem buffer grande na pilha
17	`io_uring_register`	`IORING_REGISTER_*`	❌ Dupla falha	①Frame de pilha de apenas 0xF0, destino do `copy_from_user` fixo em `sp+0x8` (diferença de 424 bytes do `sp+0x1D0` do waiter); ②Embora `io_uring_setup` não seja bloqueado pelo seccomp (retorna EFAULT em vez de ENOSYS), o layout da pilha não corresponde

17/17 todas falharam.

3.3 Causa raiz da falha

O layout da pilha gerado pelo compilador do SM8475 5.10 GKI do PD2229 (PGO + LTO + BOLT) faz com que o stack_fds do core_sys_select e o rt_mutex_waiter do futex_wait_requeue_pi sejam arquiteturalmente não sobrepostos. Este é um fato objetivo determinado pelo compilador, não um problema de técnica de exploração.

O repositório JoinChang afirma explicitamente: "The pselect stack overlay only works when the freed rt_mutex_waiter lands within the user-controllable region of the stack_fds buffer" — o PD2229 não atende a essa condição.

四、Análise comparativa dos repositórios de referência públicos

NebuSec/CyberMeowfia — Framework de exploração original

Repositório: https://github.com/NebuSec/CyberMeowfia
Alvo: Linux x86_64 / Pixel 10 (6.x GKI)
Reciclagem da pilha: PR_SET_MM_MAP copia auxv para a pilha do kernel
Taxa de sucesso: 97%, ~5 segundos para [shell root]
Aplicabilidade ao PD2229: ❌ PR_SET_MM_MAP bloqueado por EPERM no Android

JoinChang/ghostlock-oneplus — Jailbreak do bootloader OnePlus

Repositório: https://github.com/JoinChang/ghostlock-oneplus
Dispositivos verificados:
- OnePlus Ace 6T (PLR110, SM8845) — 6.12.38 GKI ✅
- OnePlus 15 (PLK110, SM8845) — 6.12.23 GKI ✅
Pontos técnicos:
- Extração automática de offsets: kallsyms (28) + BTF (57) + derivados (9) + constantes (12) = 103/103
- Sobreposição de pilha pselect, SP diff = -64
- PSELECT_SHIFT = -2
- Cadeia de exploração: futex UAF → waiter falsificado → pselect controla a pilha → escrita restrita rb_erase → selinux_state.enforcing=0 → sobrescrita do cred para init_cred
Declaração explícita de inviabilidade: "Not Feasible (stack layout incompatible)" — aplicável apenas a kernels onde pselect stack_fds e waiter se sobrepõem
Aplicabilidade ao PD2229: ❌ Geração do kernel incompatível (6.12 vs 5.10) e layout de pilha sem sobreposição

p2p3p/GhostLock-for-OnePlus — Exploração completa do OnePlus 6.12

Repositório: https://github.com/p2p3p/GhostLock-for-OnePlus
Verificado: OnePlus Ace 6T (SM8845, 6.12.38) ✅
Aplicabilidade ao PD2229: ❌ Igual ao JoinChang, geração do kernel incompatível

cve-2026-43499 — Updated!