CVE-2026-43499 — GhostLock на Huawei Nova 9 (NAM-AL00)

Исследование безопасности: подтверждение на устройстве и анализ эксплуатации CVE-2026-43499 (GhostLock) на Huawei Nova 9 (NAM-AL00, Snapdragon 778G/SM7325, HarmonyOS 4.2.0.185, ядро 5.4.86-qgki).

Краткое описание

CVE-2026-43499 — это use-after-free в стеке в подсистеме rt_mutex ядра Linux, появившийся в v2.6.39 (2011). Этот репозиторий подтверждает, что уязвимость детерминированно срабатывает на NAM-AL00 под управлением HMOS 4.2 с SPL 2025-07-01, документирует полную методологию эксплуатации и анализирует, почему полный root не был достигнут.

Подтверждено

• ✅ Откат EDEADLK срабатывает детерминированно (триггер бага)
• ✅ KASLR обходится при каждой загрузке через утечку callchain в perf_event
• ✅ Полное восстановление символов (224 986 символов из сырого Image)
• ✅ Доставка двойным плантатором проверена и согласована (pselect6 + PR_SET_MM_MAP)
• ✅ Walk потребляет поддельные поля waiter (wedge = доказательство разыменования)

Не достигнуто

• ❌ Доказательство произвольной записи (изменённая Huawei семантика walk препятствует корректному завершению)
• ❌ Временный root (заблокирован очисткой после выхода + расхождением во время walk)

Ключевые находки

Файлы

poc/poc_trigger.c      — deterministic EDEADLK trigger (stage-1 PoC)
poc/perf_probe.c       — KASLR slide extraction via perf_event
exploit/stage3_main.c  — integrated pipeline (trigger→plant→punch→oracle)
exploit/escalate.c     — post-write escalation core (cred/sid/seccomp)
exploit/stage2_forge.h — forged rt_mutex_waiter composer
sim/sim_final.py       — Unicorn emulator oracle (offline walk trace)
offsets/offset.h       — all verified symbol addresses & struct layouts
analysis/kernel.config — extracted build configuration
analysis/symbols.txt   — 224,986 recovered kallsyms entries

Сборка

# Trigger PoC
${NDK}/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android33-clang \
    -O2 -static -pthread -o poc_trigger poc/poc_trigger.c

# Run on device
adb push poc_trigger /data/local/tmp/
adb shell /data/local/tmp/poc_trigger 10

Ссылки

• CVE-2026-43499
• Nebula Security Analysis
• Root Without Unlock Bootloader List

Лицензия

MIT