CVE-2026-31431-Copy-Fail-add-arm64

Schwachstellenübersicht

Funktionsweise der Schwachstelle

Im Jahr 2017 wurde im algif_aead-Kryptografiemodul des Kernels eine In-Place-Verschlüsselungsoptimierung eingeführt. Diese Optimierung führte dazu, dass Page-Cache-Seiten fälschlicherweise in ein beschreibbares Ziel-Scatterlist eingefügt wurden. Durch die Kombination eines AF_ALG-Sockets mit dem splice()-Systemaufruf kann ein Angreifer Daten in den Page Cache beliebiger Dateien schreiben – einschließlich schreibgeschützter Dateien im Besitz von root.

Angriffskette: AF_ALG-Socket → splice() → Page-Cache-Schreibprimitive → Manipulation des Page Cache von setuid-Binärdateien → Ausführen der Datei zur Erlangung von Root-Rechten

Besonderheiten des Angriffs:

• Keine Race Condition (kein Wettlaufzustand, sondern ein direkter logischer Defekt)
• Keine Kernel-Debug-Funktionen erforderlich
• Keine Anpassung an architekturspezifische Offsets erforderlich
• Universelles Exploit-Skript nur ~732 Bytes, wirksam auf allen gängigen Distributionen

Betroffener Bereich

Verifiziert betroffene Distributionen

Distributionen wie Debian, Arch, Fedora, Rocky, Alma und Oracle sind im gleichen Kernel-Bereich ebenfalls betroffen.

Betroffener Kernel-Versionsbereich

Alle Kernel-Versionen unterhalb der folgenden Fix-Versionen sind betroffen:

Untersuchungsmethoden

1. Kernel-Version prüfen

uname -r

Vergleichen Sie die Ausgabe mit den Fix-Versionen in der obigen Tabelle. Liegt die Version darunter, ist das System betroffen.

2. AF_ALG-Verbindungen prüfen

# Aktuelle AF_ALG-Verbindungen anzeigen
lsof | grep AF_ALG

# AF_ALG-Socket-Status anzeigen
ss -xa | grep alg

3. Prüfen, ob das algif_aead-Modul geladen ist

lsmod | grep algif_aead

Wenn eine Ausgabe erscheint, ist das Modul geladen und das System ist potenziell ausnutzbar.

4. Schwachstellenverifizierung (nur in autorisierten Testumgebungen)

# PoC-Repository klonen
git clone https://github.com/cx330zer0/CVE-2026-31431-Copy-Fail-add-arm64.git
cd CVE-2026-31431-Copy-Fail-add-arm64

# PoC ausführen (erfordert einen nicht-privilegierten Benutzer)
python3 copy-fail-dual-arch.py

Wenn das PoC erfolgreich eine Root-Shell erlangt, ist das System anfällig für diese Schwachstelle.