CVE-2026-43499 (GhostLock) — исследование повышения привилегий Honor BVL-AN16

Исследование и документация по повышению привилегий CVE-2026-43499 (GhostLock, rt_mutex stack-UAF) для Honor Magic6 Pro (BVL-AN16).

Устройство

Выводы исследования

В этом репозитории задокументирован полный процесс попыток эксплуатации CVE-2026-43499 на Honor BVL-AN16 и промежуточные выводы:

1. Официальная цепочка эксплойта GhostLock (см. writeup от NebuSec) полагается на повторное использование стека через PR_SET_MM_MAP, но Honor перенёс проверку capable(CAP_SYS_RESOURCE) в prctl_set_mm раньше, что делает этот путь неприменимым.
2. Альтернативные носители повторного использования стека (pselect / TCP / kgsl / setsockopt / process_vm) были поочерёдно проверены точной дизассемблерной верификацией delta; ни один не смог выровнять waiter (глубина 0x1a8) при раскладке стекового кадра Honor (CONFIG_RANDOMIZE_KSTACK_OFFSET=y).
3. Подход heap-spray (переиспользование skb head для mm_struct order3 slab) ограничен ненаблюдаемостью состояния SLUB во время выполнения; все 6 гипотез чисто программной слепой настройки были исключены.
4. Собственные модули Honor (36 модулей vendor_dlkm) просканированы дизассемблированием; не обнаружено пригодных 32-битных переполнений или уязвимостей безопасности памяти (Android 16 полностью включает FORTIFY + KCFI).

Структура каталога

.
├── README.md              этот файл
├── LICENSE                Apache 2.0 (репозиторий-источник кода эксплойта)
├── docs/                  аналитические документы и архив прогресса
├── scripts/               скрипты дизассемблирования / анализа (123 шт., capstone читает kernel.bin)
├── disasm/                результаты дизассемблирования ключевых функций
├── scan/                  результаты сканирования модулей (поверхность атаки / 32-битные переполнения)
├── exploit/               исходники эксплойта CVE-2026-43499 (включая адаптацию для honor-BVL-AN16)
│   ├── exploit/
│   └── poc/
├── keytest.c              тест доступности add_key
└── xattrtest.c            тест размера setxattr

Краткий обзор ключевых находок

• honor_power_genl.ko (шина сообщений питания generic netlink) не содержит 32-битных переполнений, но имеет барьер контроля доступа snd_portid == nl_target.
• Delta повторного использования стека kgsl вычислена точно как +0x30, но kgsl_ioctl_copy_in максимум 72 байта, что не покрывает поле lock фейкового waiter.
• add_key (keyctl spray) блокируется SELinux: avc denied {write} tclass=key.
• setxattr максимум 4096 байт (ограничение xattr ext4/f2fs), невозможно выполнить order3 spray.
• Дальнейшее направление: CVE-2026-64560 (UAF в posix-cpu-timers) подтверждено для 6.1.128 (≤6.1.179), есть полный эксплойт для адаптации.

Атрибуция

• Исходный код эксплойта взят из NebuSec/CyberMeowfia (Apache 2.0).
• Анализ уязвимости GhostLock см. в Nebula Security — IonStack Part II.

Отказ от ответственности

Этот репозиторий предназначен только для исследований в области безопасности и обучения. Не используйте на несанкционированных устройствах. Запуск эксплойта может привести к «окирпичиванию» устройства, повреждению данных или нестабильности системы.