GhostLock — Jailbreak de Bootloader Bloqueado

Exploit de kernel para dispositivos Android com bootloader bloqueado. Alcança root temporário + instalação do KernelSU sem desbloquear o bootloader ou modificar a imagem de boot. Detecção automática em tempo de execução da versão do kernel com tabela de offsets para múltiplos dispositivos.

Vulnerabilidade

CVE-2026-43499 — Futex PI (Priority Inheritance) Use-After-Free

Afeta o kernel Linux 5.7 ~ 7.1. Corrigido nas versões estáveis 6.1.175, 6.6.140, 6.12.86. A maioria dos dispositivos Android permanece sem correção até setembro de 2026.

A syscall pselect6 copia dados de fd_set para a pilha do kernel. Quando combinada com o mecanismo de waiter futex PI, um frame de pilha liberado pode ser reutilizado como uma estrutura rt_mutex_waiter. O rebalanceamento da rb-tree durante a caminhada da cadeia PI então escreve valores controlados em endereços arbitrários do kernel.

Dispositivos Suportados

Verificados em Funcionamento

Offsets Extraídos (aguardando teste em dispositivo)

Não Viável

O overlay de pilha do pselect exige que o rt_mutex_waiter liberado caia dentro da região stack_fds controlável pelo usuário (words 0–14). Onde ele cai é determinado pelos perfis PGO/LTO do compilador, não pela versão do kernel. Consulte Layout da Pilha.

Nota sobre viabilidade 6.1: Kernels OPLUS 6.1 são consistentemente inviáveis devido ao inline PGO de do_futex. No entanto, alguns kernels não-OPLUS 6.1 (vivo) mantêm a cadeia de chamadas padrão e são viáveis (vivo T4, X Fold3 Pro). A viabilidade deve ser verificada por dispositivo.

Fluxo do Exploit

Dois caminhos de root, selecionados automaticamente com base nas capacidades do dispositivo:

Caminho A: Root UMH (preferencial, dispositivos com ashmem C)

Requer off_ashmem_misc_fops != 0 (ashmem C com miscdevice estático em BSS).

Escrita PI (mode=4)  →  redireciona fops do miscdevice para fops falsos
                   →  r/w configfs → physrw via pipe (r/w de kernel preciso de 1 byte)
                   →  SELinux enforcing = 0 (byte único, sem corrupção de policycap)
                   →  UMH: injeta work_struct em system_unbound_wq
                   →  script de root → late-load do ksud → KSU instalado

Disponível em: OnePlus 13, OPPO Pad 4 Pro, dispositivos com ashmem C 5.10/6.1. Não disponível em ashmem Rust (GKI 6.12) — miscdevice alocado no heap.

Caminho B: Escrita PI Direta (fallback)

Escrita 1 (mode=1)  →  SELinux enforcing = 0 (escrita de 8 bytes, corrompe bytes adjacentes)
Escrita 2 (mode=2)  →  task->cred = init_cred (uid=0, todas as capacidades)
Shell root         →  late-load do ksud → KSU → correção da política SELinux

Após W1+W2, o exploit corrige o campo de configuração do binário da política SELinux (|= 0xC0000000 para ANDROID_NETLINK_ROUTE + GETNEIGH) e recarrega via /sys/fs/selinux/load para restaurar a conectividade de rede.

Modo Bootstrap (telefone autônomo)

App (seccomp)  →  Escrita 1 → mini-adb TCP → adb shell: exploit completo → root

Inicialização Automática

O launcher de inicialização é fornecido pelo aplicativo separado GhostLock Anchor.

Layout da Pilha (Viabilidade)

Com NFDS=320, core_sys_select aloca um buffer stack_fds de 256 bytes na pilha do kernel:

stack_fds:  0    5    10   14 | 15   20   25   29
            ├─in─┤─out─┤─ex──┤ ├res_in┤res_out┤res_ex┤
            ◄── CONTROLADO PELO USUÁRIO ──►│◄── ZERADO PELO KERNEL ──►

O exploit coloca campos falsos de waiter (task, lock) nos bitmaps de entrada do fd_set. Para waiter aninhado 6.12 (14 words): word máxima viável do waiter = 3. Para waiter compacto 5.10/6.1 (10 words): word máxima viável do waiter = 7.

A posição do waiter depende da profundidade da cadeia de chamadas:

kernel_phys_load

Todas as escritas no kernel usam o alias do mapa linear. O bootloader escolhe kernel_phys_load, que varia por SoC:

Um valor incorreto falha silenciosamente. Leia-o em uma unidade com root:

su -c 'grep -i "Kernel code" /proc/iomem'   # c7810000-... → 0xc7800000

Substitua em tempo de execução: KPHYS=0xc7800000 /data/local/tmp/a/e

PSELECT_SHIFT

/data/local/tmp/a/e                        # Padrão (shift=0)
PSELECT_SHIFT=-2 /data/local/tmp/a/e       # OnePlus 13 (6.6)

KIMAGE_TEXT_BASE

Kernels 5.10 usam 0xffffffc008000000 (VA_BITS=39, diferente do padrão 6.x 0xffffffc080000000). Isso é tratado automaticamente via o campo kimage_text_base na entrada de offsets do dispositivo.

Compilação

make NDK_ROOT=/caminho/para/android-ndk

Ou diretamente:

NDK=/caminho/para/android-ndk
"$NDK/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android35-clang" \
  -O2 -Wall -Isrc/core -Isrc/devices -DTARGET_CONFIG_H=\"target.h\" \
  src/core/main.c src/core/util.c src/core/slide.c \
  src/core/fops.c src/core/pipe_physrw.c src/core/root.c \
  src/core/miniadb.c src/core/umh_root.c \
  -o ./ghostlock -fPIE -pie -pthread

Pré-requisitos

ksud (necessário para instalação do KSU)

O GhostLock fornece root temporário. A instalação do KernelSU requer o ksud, que inclui o kernelsu.ko para cada versão KMI.

Configuração

adb shell mkdir -p /data/local/tmp/a
adb push ./ghostlock /data/local/tmp/a/e
adb shell chmod 755 /data/local/tmp/a/e
adb shell /data/local/tmp/a/e

Execute após a conclusão da inicialização e quando o ADB estiver pronto.

Adicionando Novos Dispositivos

Apenas o boot.img é necessário — sem root, sem acesso ao dispositivo.

1. Extrair kernel e kallsyms

Consulte o guia de ferramentas kallsyms para o fluxo de trabalho completo, ou:

python tools/extract_target.py --kallsyms kallsyms.txt
python tools/extract_btf.py kernel

2. Determinar viabilidade

Verifique se do_futex tem inline PGO pesquisando no binário do kernel todas as instruções de branch que visam futex_wait_requeue_pi. Se __arm64_sys_futex o chama diretamente (ignorando do_futex), o dispositivo provavelmente não é viável.

3. Criar entrada de dispositivo

Adicione src/devices/<nome>/offsets.h com os offsets extraídos e inclua-o em src/devices/offsets.h. Use a macro de offsets de struct apropriada:

Para dispositivos com waiter compacto 5.10/6.1, defina também .kimage_text_base=0xffffffc008000000ULL.

Arquivos

Licença

Apenas para pesquisa de segurança autorizada e fins educacionais.