Unprivilegierter Benutzer  ──►  AF_ALG + splice()  ──►  4-Byte Page-Cache-Schreibzugriff  ──►  ROOT

AF_ALG (Benutzerraum-Krypto-API)
└── algif_aead-Modul
    └── authencesn-Vorlage  ◄── ANGREIFBAR
        └── In-Place-Optimierung (2017)
            └── req->src == req->dst  ◄── Seiten von splice() in beschreibbare dst-Liste eingereiht

Schritt 1: AF_ALG AEAD-Socket öffnen
        socket(AF_ALG, SOCK_SEQPACKET, 0)

Schritt 2: splice()-Seiten senden, die auf die Zieldatei verweisen
        (Page-Cache-Seiten einer privilegierten Binärdatei, z. B. /usr/bin/sudo)

Schritt 3: authencesn-Notiz-Schreibzugriff auslösen
        authencesn verwendet den dst-Puffer als Notizblock →
        schreibt 4 kontrollierte Bytes ÜBER den legitimen Ausgabebereich hinaus

Schritt 4: Page-Cache-Eintrag der Zieldatei ist nun korrupt
        (Festplattendatei unberührt — nur die Kopie im Speicher wurde geändert)

Schritt 5: Die modifizierte Binärdatei ausführen → ROOT

# Behoben in Commit: a664bf3d603d
git show a664bf3d603d

CVE-2026-31431-CopyFail/
│
├── 📄 README.md                          ← Sie sind hier
├── 📄 LICENSE                            ← Forschungs-/Bildungslizenz
├── 📄 DISCLAIMER.md                      ← Rechts- und Ethikrichtlinie
├── 📄 CHANGELOG.md                       ← Versionshistorie
│
├── 📂 docs/
│   ├── vulnerability-analysis.md         ← Tiefergehend: Ursache & Mechanik
│   ├── exploitation-walkthrough.md       ← Schritt-für-Schritt-Methodik
│   ├── affected-kernels.md               ← Vollständige Kernel-/Distro-Versionsmatrix
│   ├── detection.md                      ← Abdeckung durch Defender, Tenable, Wazuh
│   └── references.md                     ← Alle CVEs, Blogs, Advisories
│
├── 📂 exploit/
│   ├── README.md                         ← Nutzung, Voraussetzungen, getestete Distributionen
│   ├── copyfail.py                       ← Referenz-PoC (zu Bildungszwecken)
│   ├── trigger.c                         ← AF_ALG + splice() C-Trigger
│   └── variants/
│       ├── ubuntu.py                     ← Ubuntu-spezifische Variante
│       ├── rhel.py                       ← RHEL/CentOS-Variante
│       └── amazon_linux.py              ← Amazon Linux-Variante
│
├── 📂 detection/
│   ├── yara/
│   │   └── copyfail.yar                  ← YARA-Regel für Exploit-Artefakte
│   ├── sigma/
│   │   └── copyfail_lpe.yml              ← Sigma-Regel für SIEM/SOC
│   └── scripts/
│       ├── check_vulnerable.sh           ← Schnelle Kernel-Schwachstellenprüfung
│       └── detect_algif_aead.sh         ← Prüfen, ob das Modul geladen/aktiv ist
│
├── 📂 mitigation/
│   ├── README.md                         ← Übersicht Gegenmaßnahmen
│   ├── disable_algif_aead.sh             ← Betroffenes Kernelmodul deaktivieren
│   ├── patch-notes.md                    ← Details zum Upstream-Patch
│   └── kubernetes-hardening.md          ← K8s / Container-Härtung
│
├── 📂 lab/
│   ├── Vagrantfile                       ← Reproduzierbare verwundbare VM
│   ├── setup.sh                          ← Labor-Bootstrap-Skript
│   └── docker/
│       └── Dockerfile                    ← Verwundbarer Ubuntu-Container
│
├── 📂 reports/
│   ├── pentest-report-template.md        ← Kundenfertige Berichtsvorlage
│   └── sample-finding.md                ← Beispiel-Finding-Beschreibung
│
└── 📂 assets/
    ├── demo.gif                          ← (Optional) Terminal-Demo
    └── diagrams/
        └── page-cache-write.png         ← Angriffsablauf-Diagramm

# Repository klonen
git clone https://github.com/0xFuffM3/CVE-2026-31431-CopyFail.git
cd CVE-2026-31431-CopyFail

# Verwundbare Labor-VM starten
cd lab/
vagrant up

# Per SSH ins Labor einloggen
vagrant ssh

# Kernel-Version prüfen (sollte verwundbar sein)
uname -r

cd lab/docker/

# Verwundbares Container-Image bauen
docker build -t copyfail-lab .

# Mit erforderlichen Rechten für Kernel-Interaktion ausführen
docker run --rm -it --privileged copyfail-lab /bin/bash

# Schnellprüf-Skript ausführen
chmod +x detection/scripts/check_vulnerable.sh
./detection/scripts/check_vulnerable.sh

[!] Kernel-Version: 5.15.0-91-generic
[!] algif_aead-Modul: GELADEN
[✗] System scheint VERWUNDBAR für CVE-2026-31431 (Copy Fail)
[*] Empfohlene Maßnahme: Kernel-Update anwenden oder algif_aead deaktivieren

[✓] Kernel-Version: 6.1.132
[✓] System scheint GEPATCHED gegen CVE-2026-31431 (Copy Fail)

# Python 3.6+
python3 --version

# Erforderliche Kernel-Module vorhanden
lsmod | grep algif_aead

# Prüfen, ob die Zielbinärdatei lesbar ist
ls -la /usr/bin/sudo

cd exploit/

# Aktuelle Berechtigungsstufe prüfen
id
# uid=1000(benutzer) gid=1000(benutzer) groups=1000(benutzer)

# Copy Fail PoC ausführen
python3 copyfail.py

# Rechteausweitung prüfen
id
# uid=0(root) gid=0(root) groups=0(root)

1. Kernel-Version ermitteln
   └─► uname -r / cat /proc/version

2. Prüfen, ob algif_aead geladen ist
   └─► lsmod | grep algif_aead

3. Niedrigen Benutzerzugriff bestätigen
   └─► id / whoami

4. Copy Fail PoC ausführen
   └─► python3 exploit/copyfail.py

5. Root-Zugriff bestätigen
   └─► id && cat /etc/shadow

6. Beweise dokumentieren
   └─► Screenshot + Kernel-Version, Distribution, Exploit-Hash protokollieren

7. Gegenmaßnahmen anwenden (nach Test)
   └─► sudo bash mitigation/disable_algif_aead.sh

8. In Pentest-Bericht aufnehmen
   └─► reports/pentest-report-template.md verwenden

// detection/yara/copyfail.yar
rule CopyFail_CVE_2026_31431 {
    meta:
        description = "Erkennt Copy Fail (CVE-2026-31431) Exploit-Artefakte"
        author      = "0xFuffM3"
        date        = "2026-04-30"
        reference   = "https://copy.fail"
    strings:
        $py1 = "algif_aead" ascii
        $py2 = "AF_ALG" ascii
        $py3 = "splice" ascii
        $py4 = "page_cache" ascii
        $py5 = "authencesn" ascii
    condition:
        3 of them
}

yara detection/yara/copyfail.yar /tmp/ -r

# detection/sigma/copyfail_lpe.yml
title: Copy Fail LPE Exploit-Ausführung (CVE-2026-31431)
status: stable
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        CommandLine|contains:
            - 'AF_ALG'
            - 'algif_aead'
            - 'authencesn'
    condition: selection
falsepositives:
    - Legitime Krypto-API-Tests
level: high

chmod +x detection/scripts/detect_algif_aead.sh
./detection/scripts/detect_algif_aead.sh

# Ubuntu / Debian
sudo apt-get update && sudo apt-get upgrade linux-image-generic

# RHEL / CentOS
sudo yum update kernel

# Amazon Linux
sudo yum update kernel

# Nach Update neu starten
sudo reboot

# Gegenmaßnahmen-Skript ausführen
chmod +x mitigation/disable_algif_aead.sh
sudo bash mitigation/disable_algif_aead.sh

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || echo "[*] Modul derzeit nicht geladen"
echo "[✓] algif_aead deaktiviert. Neustart zur Bestätigung der Persistenz."

Finding:    Lokale Rechteausweitung via Copy Fail (CVE-2026-31431)
Severity:   HOCH (CVSS 7.8)
Host:       10.10.10.55 (ubuntu-prod-01)
Kernel:     5.15.0-91-generic

Nachweise:
  - Unprivilegierte Shell (uid=1000) auf Root (uid=0) erweitert
  - Kernel-Modul algif_aead als geladen bestätigt
  - Keine Festplatten-Artefakte — nur Page-Cache

Empfehlung:
  1. Hersteller-Kernel-Patch sofort anwenden
  2. Übergangsweise: algif_aead-Modul deaktivieren
  3. Kubernetes-Knoten und CI/CD-Runner überprüfen