oppofindN2-ghostlock

GhostLock CVE-2026-43499 — исследование повышения привилегий в ядре Linux на OPPO Find N2

Обзор проекта

GhostLock (CVE-2026-43499) — это уязвимость UAF в стеке ядра, затрагивающая Linux от 2.6.39 до 7.1-rc1, вызываемая через состояние гонки в FUTEX_CMP_REQUEUE_PI. В этом проекте exploit для x86_64 от NebuSec/CyberMeowfia адаптирован под OPPO Find N2 (ARM64, ядро 5.10.236).

Статус проекта

В процессе итераций — несколько этапов эксплуатации уже проверены, но ключевой блокер (обход CFI / примитив записи в ядро) пока не преодолён.

Ключевые особенности

• Exploit для Firefox CVE-2026-10702 — SpiderMonkey type confusion → AAW
• Утечка mm_struct через KernelSnitch — утечка адресов ядра через futex hash timing
• Триггер GhostLock FUTEX — FUTEX_CMP_REQUEUE_PI ret=0
• Куча sk_buff heap spray — 4/4 успешных send
• Обход KASLR из PR #13 — прямое вычисление kaslr_base
• Полная проверка смещений в IDA Pro — проверено 70+ смещений ядра

Быстрый старт

Требования

• macOS / Linux (требуется Android NDK)
• Android NDK r29
• Устройство OPPO Find N2

Сборка и развёртывание

1. Клонировать репозиторий

git clone https://github.com/pubglite55/oppofindN2-ghostlock.git
cd oppofindN2-ghostlock

2. Задать путь к NDK

export NDK=/usr/local/Caskroom/android-ndk/29/AndroidNDK14206865.app/Contents/NDK

3. Собрать exploit

cd exploit/
make clean && make NDK=$NDK

4. Отправить на устройство

adb push preload.so /data/local/tmp/

5. Запустить

adb shell 'LD_PRELOAD=/data/local/tmp/preload.so /system/bin/ls /dev/null' 2>&1

Структура репозитория

oppofindN2-ghostlock/
├── exploit/
│   ├── src/
│   │   ├── main.c              # 主入口，GhostLock 触发
│   │   ├── fops.c              # pselect fake lock + kernel base leak
│   │   ├── pipe.c              # pipe 物理读写
│   │   ├── root.c              # root 提权
│   │   ├── util.c              # 工具函数
│   │   └── kernelsnitch/       # mm_struct 泄漏
│   ├── targets/                # 设备偏移定义
│   └── Makefile
└── README.md

Информация об устройстве

• Phone: OPPO Find N2, serial=84cb96e2
• Kernel: 5.10.236-android12-9-o-g74d132f4467a
• Build: OPPO/CPH2413/CPH2413:16/UP1A.231005.007/V16.0.12.0.UNFCNXM:user/release-keys
• CONFIG_FUTEX_PI=y
• CONFIG_UNMAP_KERNEL_AT_EL0=y (KPTI enabled)
• kptr_restrict enforced

Ключевые блокеры

1. pselect не позволяет манипулировать структурой waiter — при NFDS > 336 fd_set находится в куче
2. configfs/ashmem не поддерживается — ashmem SET_NAME обрезается
3. Все остальные пути записи в ядро заблокированы — /proc/self/mem, /dev/mem, binder

Лицензия

Проект распространяется под лицензией MIT.

Благодарности

• NebuSec/CyberMeowfia — оригинальная реализация exploit GhostLock
• NebuSec IonStack Writeup — технический анализ GhostLock
• Dere3046/ElevateMe — механизм перезаписи cred через rb_erase