Copy-Fail Exploit (CVE-2026-31431)

Lokaler Privilege-Escalation-Exploit, der eine Copy-on-Write-Schwachstelle im Linux-Kernel über AF_ALG-Sockets und Splice-Operationen ausnutzt.

Übersicht

Dieser Exploit missbraucht eine Speicherkorruptionsbedingung auf Kernel-Ebene im Linux-Krypto-Subsystem (AF_ALG) in Kombination mit Zero-Copy-Mechanismen (splice), um eine privilegierte Binärdatei im Speicher zu modifizieren.

Durch das Patchen von /usr/bin/su zur Laufzeit ermöglicht er eine Eskalation zu Root, ohne dass gültige Anmeldeinformationen erforderlich sind.

Verwendung

Statisch kompilieren, um es in jeder Linux-Umgebung ohne Python oder zusätzliche Bibliotheken verwenden zu können.

gcc -o exploit exploit.c -lz -static
./exploit

Funktionsweise

1. Öffnet /usr/bin/su
2. Erstellt einen AF_ALG-AEAD-Socket
3. Löst Speicherkorruption im Kernel über manipulierte Socket-Operationen aus
4. Verwendet splice()-Syscalls für Zero-Copy-Speichermanipulation
5. Überschreibt die Authentifizierungslogik im Speicher
6. Führt das gepatchte su aus, um eine Root-Shell zu erhalten

Voraussetzungen

• Verwundbare Linux-Kernel-Version
• CONFIG_CRYPTO_USER_API_AEAD aktiviert
• User-Namespaces erlaubt
• Lokaler Shell-Zugriff

Erkennung & Gegenmaßnahmen

• Auf eine behobene Kernel-Version patchen, sobald verfügbar

• Nicht privilegierte User-Namespaces deaktivieren, falls nicht erforderlich:

  sysctl -w kernel.unprivileged_userns_clone=0

• Verdächtige Nutzung überwachen von:

  • AF_ALG-Sockets
  • splice()-Syscalls

• Kernel-Härtung anwenden (LSM, seccomp, usw.)

Haftungsausschluss

Nur für Bildungszwecke und autorisierte Sicherheitsforschung.
Die unbefugte Nutzung dieses Exploits kann geltende Gesetze verletzen. Ich besitze den ursprünglichen Code nicht und habe die CVE auch nicht entdeckt.

Referenz

• CVE: CVE-2026-31431
• Komponente: Linux-Kernel (AF_ALG / Krypto-Subsystem)
• Klasse: Use-After-Free / Copy-On-Write-Korruption