CVE-2026-31431 LPE PoC (Rust-Implementierung)

Dieses Projekt ist ein Proof of Concept (PoC), implementiert in Rust, für eine lokale Privilegienausweitung (LPE)-Schwachstelle (Simulation von CVE-2026-31431). Es demonstriert, wie der Linux-Kernel-Page-Cache durch Ausnutzung der Crypto API manipuliert werden kann.[cite: 1, 2]

[!CAUTION] Dieser Code dient ausschließlich Bildungs- und ethischen Sicherheitsforschungszwecken. Die unbefugte Verwendung dieses Tools gegen Systeme ohne vorherige ausdrückliche Zustimmung ist illegal. Der Autor übernimmt keine Haftung für Missbrauch oder Schäden, die durch dieses Programm verursacht werden.

Übersicht

Das Tool nutzt eine Schwachstelle im Zusammenhang mit der AF_ALG-Schnittstelle (Kernel-Crypto-Interface) und dem splice-Systemaufruf aus.[cite: 2] Es ermöglicht einem nicht privilegierten Benutzer, 4 Bytes des Page-Caches für eine schreibgeschützte Datei zu überschreiben – insbesondere das UID-Feld in /etc/passwd, um es vorübergehend auf 0000 (root) zu ändern.[cite: 1, 2]

Funktionsweise

• Zielidentifikation: Das Programm parst main.rs, um den genauen Datei-Offset der UID des aktuellen Benutzers innerhalb von /etc/passwd zu finden.[cite: 1, 2]
• Page-Cache-Vorwärmung: Es liest die Zieldatei, um sicherzustellen, dass die relevante Seite in den Kernel-Page-Cache geladen wird.[cite: 2]
• Speichermanipulation:
  • Es initialisiert einen Socket mit AF_ALG und dem Algorithmus authescesn(hmac(sha256),cbc(aes)).[cite: 2]
  • Durch sorgfältig gestaltete setsockopt-Parameter und die Verwendung von splice werden Dateidaten durch die Crypto-Pipeline umgeleitet.[cite: 2]
  • Die Schwachstelle ermöglicht es dem „Entschlüsselungsprozess“, die ursprünglichen Page-Cache-Daten mit den gewünschten 4 Bytes (0000) zu überschreiben.[cite: 2]
• Privilegienausweitung:
  • Wenn das --shell-Flag angegeben wird, führt es su <user> aus, was erfolgreich ist, da das System die UID des Benutzers nun als 0 im gecachten /etc/passwd sieht.[cite: 1]
  • Andernfalls entfernt es den beschädigten Page-Cache mit POSIX_FADV_DONTNEED, um die Systemintegrität wiederherzustellen.[cite: 1]

Voraussetzungen

• Betriebssystem: Linux (insbesondere Versionen, die für dieses Crypto-API-Verhalten anfällig sind).
• Sprache: Rust (Edition 2024).[cite: 3]
• Abhängigkeiten: libc und nix (mit den Features fs, socket, zerocopy und user).[cite: 3]

Verwendung

Build

cargo build --release

Ausführung

Test des Page-Cache-Patchings ohne Start einer Shell:

./target/release/cve-2026-31431

Versuch, zu einer Root-Shell zu eskalieren:

./target/release/cve-2026-31431 --shell

Projektstruktur

• main.rs: Orchestriert den Angriff, verarbeitet CLI-Argumente und führt den finalen Shell-Befehl aus.[cite: 1]
• modules.rs: Enthält die Kern-Exploit-Logik, einschließlich AF_ALG-Socket-Manipulation und UID-Offset-Suche.[cite: 2]
• Cargo.toml: Definiert die Projektmetadaten und externe Crate-Abhängigkeiten.[cite: 3]

Technische Referenzen

• Beteiligte Dateien: main.rs, modules.rs, Cargo.toml[cite: 1, 2, 3]
• Wichtige Systemaufrufe: socket, bind, sendmsg, splice, posix_fadvise.[cite: 1, 2]