GhostLock — Jailbreak do Bootloader Bloqueado da OnePlus

Exploit de kernel para dispositivos OnePlus/OPPO/realme com bootloader bloqueado. Obtém root + instalação do KernelSU sem desbloquear o bootloader ou modificar a imagem de boot. Deteção automática, em tempo de execução, da versão do kernel com tabela de offsets multi-dispositivos.

Vulnerabilidade

CVE-2026-43499 — Futex PI (Priority Inheritance) Use-After-Free

Afeta os kernels Linux 2.6.39 ~ 7.1. Corrigido no mainline 7.1 (commit 3bfdc63936dd). O Android GKI 6.12.x permanece vulnerável.

A syscall pselect6 copia dados de fd_set para a stack do kernel. Quando combinada com o mecanismo de waiter do futex PI, um stack frame libertado pode ser reaproveitado como estrutura rt_mutex_waiter. O rebalanceamento da rb-tree durante a travessia da cadeia PI escreve, então, valores controlados em endereços arbitrários do kernel.

Dispositivos Suportados

Verificados

Dispositivo	SoC	Kernel	Estado
OnePlus Ace 6T (PLR110)	SM8845	6.12.38-...-ab14275539	A funcionar
OnePlus Ace 6T (PLR110)	SM8845	6.12.38-...-ab14552068	A funcionar
OnePlus 15 (CPH2749)	SM8850	6.12.23-...-ab14541642	A funcionar
Xiaomi 17 (pudding)	SM8850	6.12.23-...-abogki463945075	A funcionar
Xiaomi 17 (pudding)	SM8850	6.12.69-...-abogki514973465	A funcionar (atualização de agosto de 2026)
OnePlus 13 (IN2060)	SM8750	6.6.89-...-abogki446052083	A funcionar (PSELECT_SHIFT=-2)
OPPO Pad 4 Pro	SM8750	6.6.89-...-ab14358676	A funcionar (PSELECT_SHIFT=-2)

Offsets Extraídos (aguardando teste em dispositivo)

Dispositivo	SoC	Kernel	Notas
OnePlus 15T (PLZ110)	SM8845	6.12.38-...-ab14552068	Mesmo kernel do Ace 6T. Verificado no QEMU: SP diff=-64.

Não Viável (layout de stack incompatível)

A sobreposição de stack do pselect só funciona quando o rt_mutex_waiter libertado fica dentro da região controlável pelo utilizador do buffer stack_fds. Onde o waiter cai é determinado pela saída do compilador (PGO + LTO), não pela versão do kernel. Consulte Layout da Stack para obter detalhes.

Dispositivo	SoC	Kernel	Motivo
OPPO Find X9 Ultra	SM8750	6.12.58-android16-6	O PGO elimina o frame de do_futex → SP diff=+32, palavra do waiter=14. Não existe shift seguro.
OPPO Find X7	—	6.1.157	GKI 6.1: waiter na palavra 13 (todos os dispositivos OPLUS/GKI 6.1)
realme RMX5070	SM6650	6.1.141	GKI 6.1: waiter na palavra 13
realme RMX3852	SM8635	6.1.141	Mesmo ramo 6.1 do RMX5070
OnePlus 13R / Ace 5	SM8650	6.1.x	Mesmo ramo 6.1
OnePlus 12	SM8650	6.1.141	GKI 6.1: do_futex inline por PGO, palavra do waiter=13/19
OPPO Pad 5 (OPD2502)	MT6878	6.1.134	Mesmo ramo 6.1
OPPO PKW110	—	5.15.180	frame de do_futex 0x140 (4,5x o normal) → palavra do waiter=-29, inalcançável
Motorola Edge 60 Fusion	MT6878	6.1.145	GKI 6.1: waiter na palavra 13 (não-OPLUS, mesmo resultado)
iQOO Z9 5G	—	5.15.178	frame de do_futex demasiado grande, waiter inalcançável. Não é um dispositivo OPLUS (vivo).

Fluxo do Exploit

Dois caminhos de root, selecionados automaticamente com base nas capacidades do dispositivo:

Caminho A: Root por UMH (preferido, dispositivos com ashmem em C)

Requer off_ashmem_misc_fops != 0 (ashmem em C com miscdevice estático em BSS).

PI write (mode=4)  →  redirect miscdevice fops to fake fops (via W0 pi_tree)
                      configfs r/w established
                   →  pipe physrw (1-byte precise kernel r/w)
                   →  SELinux enforcing = 0 (single byte, no policycap corruption)
                   →  UMH: inject work_struct into system_unbound_wq
                      kernel executes /data/local/tmp/a/e --umh as UID 0
                   →  root script → ksud late-load → KSU installed

Vantagens sobre o Caminho B:

• Escrita SELinux de 1 byte — não corrompe selinux_state.policycap (corrige problemas de rede no OnePlus 13)
• Sem perf_event_open — funciona sob restrições de seccomp
• Sem patch de credenciais — evita modificar a task_struct em execução

Atualmente disponível em: OnePlus 13 (kernel 6.6, ashmem em C). Não disponível em dispositivos com ashmem em Rust (GKI 6.12) — o miscdevice é alocado no heap, sem endereço previsível em tempo de compilação.

Caminho B: Escrita PI Direta (fallback, todos os dispositivos)

Utilizado quando os offsets de UMH ou os misc_fops de ashmem em C não estão disponíveis.

Write 1 (mode=1)  →  SELinux enforcing = 0
                      (low byte of kernel ptr = 0x00, 8-byte write)

Write 2 (mode=2)  →  task->cred = init_cred
                      (uid=0, all capabilities)

Root shell         →  ksud late-load (KernelSU LKM)
                   →  su -c load_policy (fix SELinux policycap)
                   →  dynamic manager registration

Modo Bootstrap (telemóvel autónomo)

App (seccomp)  →  Write 1 (no perf needed)
               →  mini-adb connect TCP (port from /data/local/tmp/a/adb_port, default 5555)
               →  adb shell: full exploit (perf works, no seccomp)
               →  root → KSU → network fix

Arranque Automático (via integração ReSukiSU)

BOOT_COMPLETED → BootCompletedReceiver
  ├─ su available → skip (soft reboot / already rooted)
  └─ no root → GhostlockService → setsid exploit --bootstrap

Viabilidade do Layout da Stack

Com NFDS=320, a função core_sys_select do kernel aloca um buffer stack_fds de 256 bytes:

stack_fds:  0    5    10   14 | 15   20   25   29
            ├─in─┤─out─┤─ex──┤ ├res_in┤res_out┤res_ex┤
            ◄── USER CONTROLLED ──►│◄── KERNEL ZEROED ──►

O exploit escreve campos falsos do waiter (task, lock) nos bitmaps de entrada do fd_set. Para que funcione, os campos task e lock do waiter têm de cair na zona controlável (palavras 0-14).

Ace 6T ✅ (waiter at word 2):
  ░░████████████████░░│░░░░░░░░░░░░░░░░░░
    ▲waiter      t  l │
    task/lock controllable

RMX5070 ❌ (waiter at word 13):
  ░░░░░░░░░░░░░████│██████████████░░░░░░
                 ▲  │    t     l
               waiter  task/lock ZEROED

Regra de viabilidade: palavra do waiter + 11 (offset de lock em rt_waiter_node) tem de ser ≤ 14. A palavra máxima viável do waiter é 3.

A posição do waiter é determinada pelo layout do stack frame do compilador (perfis de otimização PGO + LTO + BOLT), que varia por ramo de SoC. A mesma versão de kernel pode ter layouts diferentes em SoCs diferentes.

kernel_phys_load

Todas as escritas de kernel passam pelo alias do mapa linear da imagem:

data_addr(x) = PAGE_OFFSET + (kernel_phys_load - PHYS_OFFSET) + (x - KIMAGE_TEXT_BASE)

O bootloader escolhe kernel_phys_load, pelo que varia por SoC e não está em boot.img nem na DT. Campo por dispositivo em struct kernel_offsets; 0 = usar o valor predefinido de target.h.

SoC	kernel_phys_load
SM8845 (Ace 6T, 15T)	0xa8000000
SM8750 (OnePlus 13, OPPO Pad 4 Pro)	0xa8000000
SM8850 (OnePlus 15, Xiaomi 17)	0xc7800000

Um valor errado falha silenciosamente — a escrita ainda atinge RAM mapeada, por isso não há crash nem efeito. Não o confunda com um problema de PSELECT_SHIFT. Leia-o numa unidade com root do mesmo modelo (Kernel code começa em _stext; _text fica 0x10000 abaixo):