CVE-2026-43499 (GhostLock) — Архив исследования адаптации уязвимости CVE-2026-43499

Устройство: OPPO PKP110 (OP5DF3) · ядро 6.1.134-android14-11-o · Android 16 (SDK 36) Время исследования: 2026-08-20 ~ 2026-08-22

Итоговое заключение

Цепочка эксплуатации CVE-2026-43499 не сходится в среде с усиленной защитой 6.1 GKI + Android 14/15/16.

Основная причина тупика: цепочка PI не проходит через страницы спрея (независимо подтверждено исследованием iQOO Neo9s PRO)

• rt_mutex_waiter, созданный futex_wait_requeue_pi, находится в стеке ядра
• pi_blocked_on указывает на rt_mutex, выделенный внутри ядра
• поддельные waiter/lock из спрея KernelSnitch не участвуют в обходе цепочки PI
• в результате rb_erase не может записать в контролируемую атакующим цель (boot_id и т.д.)

Результаты адаптации

Пункт	Результат
Смещения структур	✅ Все проверены через BTF
setpriority вместо sched_setattr	✅ Решает проблему блокировки SELinux, больше нет крахов
Полная цепочка отработана	✅ KernelSnitch + SKB heap spray + срабатывание punch (calls=1)
Исправление косвенного адреса boot_id	✅ 0x2139958 → 0x237e188
perf_event_open	❌ Заблокирован SELinux (EACCES)
Перезапись pselect	❌ На 6.1 GKI waiter недостижим

Все три пути утечки KASLR заблокированы, цепочка повышения привилегий не сходится.

Описание файлов

Файл	Описание
target-OPPO-PKP110.h	Эксклюзивный target.h для OPPO (смещения, проверенные через BTF)
symbols-OPPO.txt	Полная таблица символов ядра OPPO (110432 символа)
structs-OPPO.h	Определения структур BTF ядра OPPO
preload-tokay-PKP110.so	Исходный код tokay + результат сборки со смещениями OPPO
ghostlock-PKP110	ghostlock-oneplus + результат сборки со смещениями OPPO
perf_leak_test.c	Тест утечки через perf (подтверждает блокировку SELinux)

Журнал изменений

generate_target.py (6 изменений)

• locate_markers: поиск с откатом по всему диапазону
• locate_u32_offset_table: поиск с откатом
• Одноимённые типы BTF: строгая эквивалентность → выбор первого
• rt_waiter_node → прямые поля rt_mutex_waiter
• Пропуск проверки кадра стека futex
• FAKE_WAITER_*: жёстко заданные проверочные значения tokay

slide.c (3 изменения)

• open_slide_selected_fds: пропуск fd 0-2 (чтобы избежать перезаписи stdout через dup2)
• Добавлена синхронная запись на диск через pr_dbg_file
• sched_setattr_tid: добавлен путь через setpriority (обход SELinux)

target.h

• Все смещения заменены на значения, проверенные через BTF OPPO

Справочно

Независимые исследования iQOO Neo9s PRO / iQOO Z10x / vivo X Fold5 дали одинаковые выводы.

Дальнейшие направления

• Уязвимости в проприетарных драйверах вендора (GPU/ISP/VPU)
• CVE-2026-64560 (требуется heap feng shui + KASLR)
• Ожидание новых публичных CVE после 2026-03

---

Заархивировано 2026-08-22 · полный исследовательский пакет 52MB доступен в Release