CVE-2026-31431 — Copy Fail

中文版

732 Bytes bis Root auf jeder großen Linux-Distribution

CVE-2026-31431 (Copy Fail) ist ein Logikfehler in der authencesn-Kryptografievorlage des Linux-Kernels. Er ermöglicht einem nicht privilegierten lokalen Benutzer, einen deterministischen, kontrollierten 4-Byte-Schreibvorgang in den Page Cache einer beliebigen lesbaren Datei auf dem System auszulösen.

Übersicht

• CVE-ID: CVE-2026-31431
• Typ: Lokale Rechteausweitung / Container-Escape
• Betroffen: Linux-Kernel mit CONFIG_CRYPTO_AUTHENC (praktisch alle großen Distributionen seit 2017)
• Entdeckt von: Xint Code Research Team, mit ersten Erkenntnissen von Theori-Forscher Taeyang Lee

Funktionsweise

Der Fehler verknüpft zwei Verhaltensweisen:

1. AF_ALG + splice: splice() überträgt Page-Cache-Seiten per Referenz in die Scatterlist eines AF_ALG-Sockets. Im In-Place-Modus der AEAD-Entschlüsselung bleiben die Tag-Seiten (aus dem Page Cache der Zieldatei) über sg_chain() mit der Ausgabe-Scatterlist verkettet.

2. authencesn-Scratch-Schreibvorgang: crypto_authenc_esn_decrypt() verwendet dst[assoclen + cryptlen] (hinter dem Tag, in den Page-Cache-Seiten) als Scratch-Bereich für die Neuordnung der ESN-Sequenznummern, schreibt 4 vom Angreifer kontrollierte Bytes und stellt sie nie wieder her.

Die beschädigte Seite wird nie als dirty markiert, sodass die Datei auf der Festplatte unverändert bleibt. Aber der In-Memory-Page-Cache ist das, was tatsächlich gelesen wird — wodurch die Korruption sofort systemweit sichtbar wird.

Exploit

Der Exploit korrumpiert den Page Cache von /usr/bin/su (oder einer beliebigen setuid-Binärdatei) mit einem kleinen Shellcode-Payload, jeweils 4 Bytes auf einmal. Nach allen Iterationen führt die Ausführung von su den Payload aus und öffnet eine Root-Shell.

Python (exp.py)

python3 exp.py

C (exp.c)

gcc -o exp exp.c
./exp

Auswirkungen

Referenzen

• copy.fail — Offizielle Sicherheitsmeldung
• Xint Blog — Copy Fail: 732 Bytes to Root
• NVD-Eintrag

Haftungsausschluss

Dieses Repository wird ausschließlich zu Bildungs- und Verteidigungsforschungszwecken veröffentlicht. Verwenden Sie diesen Code nicht auf Systemen, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Testberechtigung haben.