Für andere Architekturen laden Sie das passende Asset von der GitHub-Releases-Seite herunter:

https://github.com/ErdemOzgen/copy-fail-cve-2026-31431/releases

Inhalt

• Schnelltest (ohne Build)
• Build-Voraussetzungen
• Lokaler Build
• Verwendung
• Fehlerbehebung
• Überblick
• Warum es wichtig ist
• Grundursache
• Auslösepfad in authencesn
• Wie der Fehler erreichbar wurde
• Exploit-Ablauf auf hoher Ebene
• Zusammenfassung des Fixes
• Behebung
• Offenlegungszeitplan
• Wie es gefunden wurde
• Repository-Struktur
• GitHub Actions
• Getestete Distributionen
• Referenzen

Build-Voraussetzungen

• Go 1.23+
• GNU Make

Lokaler Build

Alle Linux-Ziele bauen:

Bauen und Prüfsummen generieren:

Ausgabebinaries in dist/:

• copy-fail-cve-2026-31431_linux_amd64
• copy-fail-cve-2026-31431_linux_arm64
• copy-fail-cve-2026-31431_linux_386
• copy-fail-cve-2026-31431_linux_armv7
• SHA256SUMS

Verwendung

Standardausführung:

Einen benutzerdefinierten Zielpfad verwenden:

Ausführung von su nach dem Lauf deaktivieren:

Build-Metadaten ausgeben:

Fehlerbehebung

Wenn die Ausführung bei Offset 0 mit einem Fehler ähnlich dem folgenden fehlschlägt:

hat der Kernel höchstwahrscheinlich den verwundbaren AEAD-In-Place-Pfad abgelehnt (z. B. weil der Host für CVE-2026-31431 gepatcht ist oder algif_aead entschärft/deaktiviert ist).

Schnellprüfungen:

Auf behobenen Systemen wird erwartet, dass dieser PoC fehlschlägt.

Überblick

Gemäß der öffentlichen Offenlegung ermöglicht der verwundbare Pfad einem nicht privilegierten lokalen Benutzer unter bestimmten Bedingungen einen 4-Byte-Schreibzugriff auf Page-Cache-Inhalte lesbarer Dateien zu beeinflussen.

Die wichtige betriebliche Eigenschaft ist, dass die In-Memory-Page-Cache-Kopie während der Laufzeit von den On-Disk-Bytes abweichen kann, was die Auswirkungsanalyse für Teams, die sich nur auf Integritätsprüfungen auf Datenträgerebene verlassen, nicht trivial macht.

Warum es wichtig ist

Copy Fail ist bemerkenswert, weil es wie folgt gemeldet wurde:

• Deterministisch (keine Race-Bedingung im beschriebenen Auslösepfad erforderlich).
• Portabel über große Linux-Distributionen im Test.
• Kompakt in der Implementierung, ohne Abhängigkeit von externen Payload-Builder.
• Über den Einzelprozessbereich hinaus relevant aufgrund des gemeinsamen Page-Cache-Verhaltens.

Grundursache

Auf hoher Ebene liegt das Problem an der Schnittstelle von drei Mechanismen:

1. AF_ALG-AEAD-Anfrageverarbeitung.
2. splice()-Page-Cache-gestützte Datenbewegung.
3. authencesn-Entschlüsselungs-Scratch-Verhalten.

Im verwundbaren Design können Page-Cache-gestützte Segmente in eine Anfrageform eingebunden werden, die später während der Algorithmusverarbeitung Schreibzugriffe erhält, was eine Schlüsselannahme verletzt, dass nur beabsichtigte Zielregionen modifiziert werden.

Auslösepfad in authencesn

Im dokumentierten Pfad verwendet authencesn Zielseitige-Scratch-Operationen rund um die ESN-Layout-Behandlung und führt einen Schreibzugriff an einem Offset aus, der über den erwarteten Entschlüsselungsausgabevertrag hinausgeht.

In Kombination mit dem In-Place-AEAD-Setup und verketteten Scatterlist-Referenzen kann dieser Schreibzugriff in Page-Cache-gestütztem Speicher für vom Angreifer ausgewählte Regionen landen.

Wie der Fehler erreichbar wurde

Die Offenlegung beschreibt eine Entwicklung über mehrere Commits:

• Das authencesn-Verhalten stammt aus früherer Integrationshistorie.
• Die AF_ALG-AEAD-Unterstützung führte Benutzerraum-Erreichbarkeit mit splice()-Interaktion ein.
• Eine spätere In-Place-Optimierung in algif_aead kombinierte Quell- und Zielfluss auf eine Weise, die diese Schnittstelle ausnutzbar machte.

Die wichtigste Lektion ist das Kompositionsrisiko: Einzeln vernünftige Änderungen können in Kombination unsicher werden.

Exploit-Ablauf auf hoher Ebene

Der öffentliche Bericht und PoC beschreiben diese Abfolge:

1. Öffnen und Konfigurieren eines AF_ALG-AEAD-Sockets für authencesn(hmac(sha256),cbc(aes)).
2. Bereitstellen von manipulierten Metadaten und segmentierten Daten.
3. Verwenden von splice(), um Page-Cache-gestützte Dateidaten durch den Anforderungspfad zu leiten.
4. Auslösen der Entschlüsselungsverarbeitung und Wiederholen in kontrollierten 4-Byte-Schritten.

Die Go-Implementierung dieses Repositorys spiegelt die öffentliche PoC-Logik für Forschung und Validierung in autorisierten Umgebungen wider.

Zusammenfassung des Fixes

Der gemeldete Fix stellt die verwundbare In-Place-AEAD-Operation in algif_aead auf Out-of-Place-Verhalten um.

Konzeptionell:

• Vor dem Fix: Quelle und Ziel konnten für diesen Pfad zu einer beschreibbaren Kette kollabieren.
• Nach dem Fix: Quelle und Ziel bleiben getrennt, wodurch verhindert wird, dass Page-Cache-gestützte Quellsegmente in diesem Fluss als beschreibbare Zielregionen verwendet werden.

Behebung

• Kernel auf Versionen patchen, die den Upstream-Fix enthalten.
• Vendor-Kernel-Paketupdates über Flotte und Images ausrollen.
• Temporäre Härtungskontrollen in Betracht ziehen (z. B. Richtlinieneinschränkungen für die AF_ALG-Nutzung, wo betrieblich machbar).
• Behebung mit Laufzeitprüfungen validieren, nicht nur mit Disk-Checksummen-Workflows.

Offenlegungszeitplan

Basierend auf dem öffentlichen Bericht:

Wie es gefunden wurde

Die veröffentlichte Forschung schreibt die Entdeckung einer menschlich geführten, KI-unterstützten Subsystemanalyse zu, die sich auf benutzerraum-erreichbare Krypto-Codepfade und Scatterlist/Page-Herkunft unter splice() konzentrierte.

Repository-Struktur

• main.go: Go-PoC-Port.
• Makefile: Deterministische Multi-Arch-Linux-Build-Ziele.
• .github/workflows/build.yml: CI-Build- und Release-Artefakt-Workflow.

GitHub Actions

Workflow-Datei: .github/workflows/build.yml

Auslöser:

• Pull Requests
• Push auf main
• Tag-Push passend zu v*
• Manuelles workflow_dispatch

Verhalten:

1. Baut alle Linux-Binaries mit Prüfsummen über make clean checksums.
2. Lädt CI-Artefakte hoch, benannt mit Ref + Commit-SHA.
3. Veröffentlicht Release-Assets automatisch für Tags passend zu v*.

Vorgeschlagener Release-Ablauf:

Getestete Distributionen

Referenzen

• Originaler öffentlicher Artikel: https://xint.io/blog/copy-fail-linux-distributions
• CVE-Eintrag: CVE-2026-31431