oppofindN2-ghostlock

GhostLock CVE-2026-43499 — Pesquisa de escalação de privilégios no kernel Linux do OPPO Find N2

Visão geral do projeto

GhostLock (CVE-2026-43499) é uma vulnerabilidade de UAF de pilha do kernel que afeta o Linux 2.6.39 até 7.1-rc1, acionada por meio de uma condição de corrida em FUTEX_CMP_REQUEUE_PI. Este projeto adapta o exploit x86_64 do NebuSec/CyberMeowfia para o OPPO Find N2 (ARM64, kernel 5.10.236).

Status do projeto

Em iteração — várias fases de exploração já foram verificadas, mas o ponto de bloqueio central (bypass de CFI / primitiva de escrita no kernel) ainda não foi superado.

Características principais

• Exploit do Firefox CVE-2026-10702 — SpiderMonkey type confusion → AAW
• Vazamento de mm_struct via KernelSnitch — futex hash timing vaza endereços do kernel
• Disparo do GhostLock FUTEX — FUTEX_CMP_REQUEUE_PI ret=0
• Heap spray com sk_buff — 4/4 envios bem-sucedidos
• Bypass de KASLR do PR #13 — cálculo direto de kaslr_base
• Verificação completa de offsets no IDA Pro — mais de 70 offsets do kernel verificados

Início rápido

Requisitos de ambiente

• macOS / Linux (requer Android NDK)
• Android NDK r29
• Dispositivo OPPO Find N2

Compilação e implantação

1. Clonar o repositório

git clone https://github.com/pubglite55/oppofindN2-ghostlock.git
cd oppofindN2-ghostlock

2. Definir o caminho do NDK

export NDK=/usr/local/Caskroom/android-ndk/29/AndroidNDK14206865.app/Contents/NDK

3. Compilar o exploit

cd exploit/
make clean && make NDK=$NDK

4. Enviar para o dispositivo

adb push preload.so /data/local/tmp/

5. Executar

adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/ls /dev/null' 2>&1

Estrutura do repositório

oppofindN2-ghostlock/
├── exploit/
│   ├── src/
│   │   ├── main.c              # 主入口，GhostLock 触发
│   │   ├── fops.c              # pselect fake lock + kernel base leak
│   │   ├── pipe.c              # pipe 物理读写
│   │   ├── root.c              # root 提权
│   │   ├── util.c              # 工具函数
│   │   └── kernelsnitch/       # mm_struct 泄漏
│   ├── targets/                # 设备偏移定义
│   └── Makefile
└── README.md

Informações do dispositivo

• Phone: OPPO Find N2, serial=84cb96e2
• Kernel: 5.10.236-android12-9-o-g74d132f4467a
• Build: OPPO/CPH2413/CPH2413:16/UP1A.231005.007/V16.0.12.0.UNFCNXM:user/release-keys
• CONFIG_FUTEX_PI=y
• CONFIG_UNMAP_KERNEL_AT_EL0=y (KPTI habilitado)
• kptr_restrict enforced

Bloqueios principais

1. pselect não consegue manipular a estrutura waiter — quando NFDS > 336, o fd_set fica no heap
2. configfs/ashmem não suportados — ashmem SET_NAME é truncado
3. Todos os outros caminhos de escrita no kernel estão bloqueados — /proc/self/mem, /dev/mem, binder

Licença

Este projeto utiliza a Licença MIT.

Agradecimentos

• NebuSec/CyberMeowfia — implementação original do exploit GhostLock
• NebuSec IonStack Writeup — análise técnica do GhostLock
• Dere3046/ElevateMe — mecanismo de sobrescrita de cred via rb_erase