asus-i005-cve-2026-43499

Estudo de adaptação do CVE-2026-43499 (GhostLock) no ASUS ROG Phone 5S (ASUS_I005).

Conclusão: o disparo da vulnerabilidade e a recuperação de pilha foram totalmente verificados; a cadeia de escalada de privilégios não foi concluída devido à profundidade insuficiente de sobrescrita da pilha.

Especificamente:

• Stage 0~1.6 totalmente verificados com sucesso (disparo, recuperação de pilha, vazamento de endereço de pilha)
• A primitiva de escrita do Stage 2 requer sobrescrever waiter+0x28..0x40 (pi_tree_entry.rb_left e lock)
• pselect nfds=320 só sobrescreve até waiter+0x27
• Não foi encontrado um veículo de recuperação de pilha com sobrescrita mais profunda (mais de 40 syscalls candidatos já esgotados)
• Todas as fontes de vazamento de KASLR do i005 também foram bloqueadas

Análise detalhada em docs/05-limitations.md.

TL;DR

Fase	Conteúdo	Status
0	Disparo de UAF (3 threads + CMP_REQUEUE_PI)	✅
1	Recuperação de pilha com pselect timeout=0 (shift=10)	✅
1.6	Vazamento de SP da pilha do kernel de W (perf PERF_SAMPLE_REGS_INTR)	✅
2	Escrita em endereço arbitrário (requer KASLR slide)	❌
—	Vazamento de KASLR (todas as 8 fontes falharam)	❌

Dispositivo alvo

Item	Valor
Dispositivo	ASUS ROG Phone 5S (ASUS_I005)
SoC	Snapdragon 888 (SM8350)
Android	13
Kernel	5.4.210-qgki-perf-gc89cd02a7dfe arm64
SELinux	Enforcing (u:r🐚s0)
CapEff	0

Visão geral da vulnerabilidade

CVE-2026-43499 (GhostLock) é um UAF de pilha no subsistema rtmutex do kernel Linux. remove_waiter() usa current em vez de waiter->task no caminho de reversão do bloqueio proxy, resultando em um ponteiro pendente residual em task_struct->pi_blocked_on.

Resultados principais

1. Recuperação de pilha com pselect timeout=0 (original)

• pselect timeout>0 → do_select → schedule → pi_blocked_on pendente é percorrido → deadlock
• com timeout=0, end_time=NULL, do_select retorna imediatamente, mas _copy_from_user ainda é executado
• nfds=320 → uma cópia de 40 bytes → core_sys_select usa stack_fds na pilha
• o início do ex fd_set coincide exatamente com o início do waiter → PSELECT_WAITER_WORD_SHIFT = 10

2. Vazamento de endereço da pilha do kernel W

• perf_event_open(pid=W_tid) + PERF_SAMPLE_REGS_INTR(SP)
• filtrar pilha de IRQ → 41 amostras reais da pilha de W todas idênticas
• alinhamento de 16KB → sp_top → fake_waiter = sp_top - 0x1b0

3. Superfície de bloqueio — a configuração reforçada do i005 resiste a todos os vazamentos de KASLR

Ver docs/05-limitations.md:

• kptr_restrict=2
• perf hardware no arm64 registra o PC de entrada do vetor EL0→EL1 (overflow delayed)
• perf_event_open(system-wide/kworker) EACCES
• bpf() EACCES
• /proc/{kallsyms,timer_list,self/stack} EACCES
• /sys/module/*/sections EACCES

Estrutura de diretórios

• docs/ Documentos de análise e linha do tempo
  • 06-research-snapshot.md Instantâneo completo da pesquisa
  • 07-iteration-log.md Registro de versões malsucedidas
  • disasm/ Trechos-chave de desmontagem
  • recon/ Saída de reconhecimento
• include/ Tabela de símbolos + offsets de estruturas
• src/ Código-fonte do PoC (ver src/README.md)
• scripts/ Scripts de análise
• logs/ Logs de execução (não versionados no git)

Reprodução

# 1. Extrair símbolos e offsets (requer vmlinux compilado a partir do código-fonte oficial do kernel da ASUS)
./scripts/extract_symbols.sh
./scripts/gen_symbols_h.sh
./scripts/extract_offsets.sh

# 2. Compilar Stage 0
aarch64-linux-gnu-gcc -static -O2 -pthread \
  -o ~/tmp/work/bin/poc_stage0_trigger src/poc_stage0_trigger.c

# 3. Executar no dispositivo (requer adb shell no dispositivo alvo)
adb shell /data/local/tmp/poc_stage0_trigger
Toolchain: aarch64-linux-gnu-gcc -static -O2 -pthread

Referências

· gitchw/ghostlock-cve-2026-43499        Huawei Watch 4 Pro, 5.4.210 (ARM32)
· ccp-p/ghostlock-cve-2026-43499-4.19-k40  Redmi K40, 4.19.157 (aarch64)
· JoinChang/ghostlock-oneplus              vários dispositivos OnePlus, viabilidade do layout de pilha
· knowlily/cve-2026-43499-honor             análise de falha no Honor

Aviso legal

Apenas para pesquisa de segurança. Não use em dispositivos não autorizados.