Portando o GhostLock (CVE-2026-43499) para o Samsung Galaxy A17: KDP, DEFEX e a arte de não entrar em pânico

Pesquisadores do Mobile Hacking Lab adaptaram a cadeia pública GhostLock CVE-2026-43499 para um Samsung Galaxy A17 (SM-A175F) de fábrica executando GKI 6.12.23-android16.

A cadeia de exploração existente transforma um use-after-free de futex PI em gravações restritas no kernel e, em seguida, por meio de objetos pipe_buffer forjados, em leitura/gravação arbitrária de memória física. Essas primitivas foram transferidas para o Galaxy A17. A parte mais difícil foi transformá-las em um shell root estável sob mitigações específicas da Samsung.

• O KDP bloqueou o patch direto de credenciais. Modificar a estrutura cred do processo atual não funcionava mais porque o KDP protege dados sensíveis do kernel contra gravações em EL1. Em vez disso, o exploit forjou um item de workqueue e redirecionou a execução para o caminho usermode-helper, fazendo o kernel iniciar um processo com credenciais init sem modificar cred diretamente.

• panic_on_oops=1 tornou a limpeza fatal. Entradas pipe_buffer forjadas referenciavam páginas reservadas da imagem do kernel. Quando os pipes eram liberados, anon_pipe_buf_release() eventualmente acionava uma condição de página inválida e reiniciava o dispositivo. A porta mantém os descritores de arquivo relevantes vivos em um processo bifurcado e limpa o campo ops dos slots forjados antes do teardown.

• O DEFEX bloqueou o binário root final. Um processo UID 0 não podia executar g4d diretamente de /data/local/tmp. O helper, em vez disso, montou por bind g4d sobre /system/bin/lmkd e o iniciou pelo caminho confiável do sistema. O daemon então expõe o shell root pelo socket Unix abstrato @ghostlockd.

O resultado é um shell root estável em um Galaxy A17 de varejo com firmware de fábrica e bootloader bloqueado. O acesso persiste para o boot atual; após uma reinicialização, a cadeia de exploração deve ser executada novamente.

Artigo: https://www.mobilehackinglab.com/blog/cve-2026-43499-ghostlock-a17-root-shell