CVE-2026-31431 („Copy Fail“) – Fortgeschrittener LPE-Proof-of-Concept – C-Neuimplementierung

Ein fortschrittlicher, bytegenauer Proof-of-Concept (PoC) zur lokalen Privilegienerweiterung (LPE) für CVE-2026-31431, der einen Logikfehler im Kryptografie-Subsystem des Linux-Kernels (algif_aead) ausnutzt.

Dieses Repository enthält eine hochoptimierte C-Implementierung, die zuverlässig schreibgeschützten Page-Cache-Speicher überschreibt, indem sie die AF_ALG-Socket-Schnittstelle und den Systemaufruf splice() manipuliert.

Überblick über die Schwachstelle

Die als „Copy Fail“ bezeichnete Schwachstelle ermöglicht es einem nicht privilegierten lokalen Angreifer, den Kernel dazu zu zwingen, Ausgaben kryptografischer Operationen direkt in die speicherzugeordneten Seiten beliebiger Dateien auf dem System zu schreiben. Durch die gezielte Ausrichtung auf /usr/bin/su erreicht dieser PoC eine Zero-Copy-Speicherinjektion, die ohne Änderung der physischen Binärdatei auf der Festplatte eine sofortige Root-Shell gewährt.

Distributionsübergreifende Forschung & Kompatibilitätsmatrix

Umfangreiche Tests wurden über verschiedene moderne Linux-Distributionen hinweg durchgeführt, um das Ausnutzbarkeitsfenster zu bestimmen und Patch-Verhalten zu beobachten.

Patch-Analyse (Der „Stille Fehlschlag“)

Auf gepatchten Kerneln (z. B. 6.19.14+ und 7.0.0+) wird der Exploit ohne Absturz oder Auslösen von EINVAL ausgeführt (Stiller Fehlschlag). Der Kernel parst die rohen Netlink-rtattr-Header erfolgreich, erzwingt jedoch korrekt die Seitenberechtigungen VM_MAYWRITE während der splice()-Rückschreibphase. Er weist stattdessen stillschweigend einen sicheren Puffer zu, anstatt den schreibgeschützten Page-Cache von /usr/bin/su zu überschreiben.

Verwendung

Kompilierung

gcc copy_fail_exp.c -o copy_fail_exp
chmod +x copy_fail_exp

Ausführung

./copy_fail_exp

Erwartete Ausgabe (Verwundbares System):

[*] CVE-2026-31431 Research - Ultimate C Implementation
[+] Page Cache completely overwritten.
[+] Detonating modified binary...
# whoami
root

Referenz

• https://copy.fail/
• CVE-2026-31431

Haftungsausschluss

Dieser Code wird ausschließlich zu Bildungs-, Abwehrforschungs- und Bedrohungsmodellierungszwecken veröffentlicht. Führen Sie diesen Code nicht auf Produktionssystemen oder in Umgebungen aus, in denen Sie keine ausdrückliche Genehmigung besitzen.