CVE-2026-31431 – Exploit zur Privilegieneskalation im Linux-Kernel

Beschreibung

Funktionsfähiger Exploit für die Schwachstelle CVE-2026-31431, der eine lokale Privilegieneskalation auf Linux-Systemen ermöglicht, indem ein Fehler im kryptografischen AF_ALG-Subsystem des Kernels in Kombination mit dem Systemaufruf splice() ausgenutzt wird.

Funktionen

• Vollständige Schwachstellenprüfung vor der Ausnutzung
• Mehrere Payloads für verschiedene Ziele (SUID-Binaries und /etc/passwd)
• Farbige Oberfläche mit Fortschrittsbalken
• Optionale Bereinigung des Page Cache
• Nicht-persistenter Exploit (ändert nur den Arbeitsspeicher)

Voraussetzungen

• Linux-System mit verwundbarem Kernel
• Geladenes Modul algif_aead
• Verfügbarer Algorithmus authencesn
• Python 3.x
• Ausführungsrechte auf dem Zielsystem

Verwendung

python3 cve-2026-31431-poc.py

Das Skript führt automatisch Folgendes aus:

1. Überprüfung der Schwachstelle
2. Suche nach geeigneten SUID-Zielen
3. Injektion des Payloads in den Page Cache
4. Ausführung der modifizierten Binary zur Erlangung einer Root-Shell
5. Option zur Bereinigung des Page Cache

Warnung

Ausschließliche Verwendung auf Systemen mit ausdrücklicher Genehmigung. Dieses Tool ist ausschließlich für Penetrationstests auf eigenen Systemen oder mit ausdrücklicher Genehmigung konzipiert.

Technische Details

Der Exploit funktioniert über:

1. Erstellung eines AF_ALG-Sockets mit dem Algorithmus authencesn
2. Konfiguration spezifischer AEAD-Parameter
3. Verwendung von splice() zur Übertragung von Seiten aus dem Page Cache an den Socket
4. In-place-Schreiben in die Seiten der Zieldatei während des Entschlüsselungsprozesses

Hinweis

Die Änderung existiert nur im Page Cache (RAM) und geht beim Neustart des Systems verloren, wodurch die ursprünglichen Binaries automatisch wiederhergestellt werden.