CVE-2026-43499 (GhostLock) — CVE-2026-43499 漏洞适配研究归档

设备：OPPO PKP110 (OP5DF3) · 内核 6.1.134-android14-11-o · Android 16 (SDK 36) 研究时间：2026-08-20 ~ 2026-08-22

最终结论

CVE-2026-43499 在 6.1 GKI + Android 14/15/16 加固环境上利用链无法收敛。

核心死因：PI 链不经过喷射页（iQOO Neo9s PRO 研究独立验证）

• futex_wait_requeue_pi 创建的 rt_mutex_waiter 在内核栈上
• pi_blocked_on 指向内核内部分配的 rt_mutex
• KernelSnitch 喷射的 fake waiter/lock 不参与 PI 链遍历
• 导致 rb_erase 写不到攻击者控制的目标（boot_id 等）

适配成果

三条 KASLR 泄露路线全堵死，提权链无法收敛。

文件说明

修改记录

generate_target.py（6 处修改）

• locate_markers: 全范围回退搜索
• locate_u32_offset_table: 回退搜索
• BTF 同名类型: 严格等价→选第一个
• rt_waiter_node → rt_mutex_waiter 直接字段
• futex 栈帧校验跳过
• FAKE_WAITER_* 硬编码 tokay 验证值

slide.c（3 处修改）

• open_slide_selected_fds: 跳过 fd 0-2（避免 dup2 覆盖 stdout）
• 加 pr_dbg_file 同步落盘
• sched_setattr_tid: 加 setpriority 路线（绕 SELinux）

target.h

• 全部偏移替换为 OPPO BTF 验证值

参考

iQOO Neo9s PRO / iQOO Z10x / vivo X Fold5 独立研究均得出相同结论。

后续方向

• 厂商专有驱动漏洞（GPU/ISP/VPU）
• CVE-2026-64560（需堆风水 + KASLR）
• 等待 2026-03 之后公开的新 CVE

---

归档于 2026-08-22 · 52MB 完整研究包在 Release 中