CVE-2026-31431 (Copy Fail) — Live-Prozess-Code-Injection-PoC

Demonstriert die Ausführung beliebigen Codes in einem laufenden Prozess über den Page Cache.

von @secinfosex

Was es tut:

1. Kompiliert eine Test-Binary: check() { return 42; } in einer Endlosschleife
2. Startet den Prozess
3. Wartet auf die Ausgabe "check() = 42"
4. Ersetzt check() durch getpid()-Shellcode über den Copy-Fail-Page-Cache-Write
5. Wartet auf die Ausgabe "check() = "
6. Vergleicht die PID aus der Ausgabe mit der tatsächlichen Prozess-PID
7. Stellt den Page Cache wieder her (posix_fadvise DONTNEED)

Erfolg: check() gibt die echte PID zurück — ein Syscall, der vom Kernel im Prozesskontext ausgeführt wird. Ausführung beliebigen Codes bestätigt.

Anforderungen:

• Nicht gepatchter Kernel mit verfügbarem algif_aead-Modul
• gcc
• Root nicht erforderlich (aber AF_ALG-Socket-Zugriff nötig)

Verwendung: python3 copy_fail_inject_poc.py