CVE-2026-43499 — GhostLock no Huawei Nova 9 (NAM-AL00)

Pesquisa de segurança: confirmação no dispositivo e análise de exploração do CVE-2026-43499 (GhostLock) no Huawei Nova 9 (NAM-AL00, Snapdragon 778G/SM7325, HarmonyOS 4.2.0.185, kernel 5.4.86-qgki).

Resumo

O CVE-2026-43499 é um use-after-free de pilha no subsistema rt_mutex do kernel Linux, introduzido na v2.6.39 (2011). Este repositório confirma que a vulnerabilidade é acionada deterministicamente no NAM-AL00 rodando HMOS 4.2 com SPL 2025-07-01, documenta a metodologia completa de exploração e analisa por que o root completo não foi alcançado.

Confirmado

• ✅ A reversão do EDEADLK é acionada deterministicamente (gatilho do bug)
• ✅ KASLR neutralizado por inicialização via vazamento de callchain do perf_event
• ✅ Recuperação completa de símbolos (224.986 símbolos da Image bruta)
• ✅ Entrega com dual-planter verificada e alinhada (pselect6 + PR_SET_MM_MAP)
• ✅ O walk consome os campos forjados de waiter (wedge = prova de dereferência)

Não alcançado

• ❌ Prova de escrita arbitrária (a semântica de walk modificada pela Huawei impede terminação limpa)
• ❌ Root temporário (bloqueado pela limpeza pós-exit e pela divergência durante o walk)

Principais descobertas

Arquivos

poc/poc_trigger.c      — deterministic EDEADLK trigger (stage-1 PoC)
poc/perf_probe.c       — KASLR slide extraction via perf_event
exploit/stage3_main.c  — integrated pipeline (trigger→plant→punch→oracle)
exploit/escalate.c     — post-write escalation core (cred/sid/seccomp)
exploit/stage2_forge.h — forged rt_mutex_waiter composer
sim/sim_final.py       — Unicorn emulator oracle (offline walk trace)
offsets/offset.h       — all verified symbol addresses & struct layouts
analysis/kernel.config — extracted build configuration
analysis/symbols.txt   — 224,986 recovered kallsyms entries

Compilação

# Trigger PoC
${NDK}/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android33-clang \
    -O2 -static -pthread -o poc_trigger poc/poc_trigger.c

# Run on device
adb push poc_trigger /data/local/tmp/
adb shell /data/local/tmp/poc_trigger 10

Referências

• CVE-2026-43499
• Nebula Security Analysis
• Root Without Unlock Bootloader List

Licença

MIT