🔴 CVE-2026-31431 — Copy Fail

Linux-Kernel Local Privilege Escalation (LPE) — Repository für defensive Forschung

📖 Einführung

Copy Fail (CVE-2026-31431) ist eine Local Privilege Escalation (LPE)-Schwachstelle, die den Linux-Kernel über eine kontrollierte Korruption des Page Cache durch die Mechanismen AF_ALG, splice() und authencesn betrifft.

Dieses Repository hat zum Ziel:

• den internen Mechanismus der Schwachstelle zu dokumentieren,
• die logische Ausnutzungskette zu erklären,
• die defensiven Auswirkungen darzustellen,
• Erkennungsstrategien vorzuschlagen,
• Mitigationsmaßnahmen bereitzustellen,
• für die Sicherheit des Linux-Kernels zu sensibilisieren.

⚠️ Dieses Projekt dient ausschließlich Bildungs-, Verteidigungs- und Sicherheitsforschungszwecken.

📑 Inhaltsverzeichnis

• Überblick
• Mechanismus der Schwachstelle
• Angriffsfläche
• Demonstration im Labor
• Erkennung & IOCs
• Mitigationen
• Zeitleiste
• Referenzen
• Rechtlicher Hinweis

🧪 Forschungsrahmen

Alle in diesem Repository vorgestellten Demonstrationen wurden in isolierten und kontrollierten Laborumgebungen durchgeführt.

Eine Nutzung auf Drittsystemen ohne ausdrückliche Genehmigung ist nicht gestattet.

🔍 Überblick

🧠 Warum diese Schwachstelle wichtig ist

Vergleichbar mit:

• Dirty Cow (CVE-2016-5195)
• Dirty Pipe (CVE-2022-0847)
• Modern Page Cache Corruption Primitives

🧬 Vereinfachte Darstellung der Kette

User Space
    ↓
AF_ALG Socket
    ↓
splice()
    ↓
Page Cache Reference
    ↓
authencesn In-Place Write
    ↓
Controlled 4-Byte Overwrite
    ↓
execve()
    ↓
Privilege Escalation

⚙️ Mechanismus der Schwachstelle

Technische Chronologie

2011 → authencesn ajouté au kernel
2015 → AF_ALG reçoit le support AEAD + splice()
2017 → Optimisation in-place dans algif_aead.c
2026 → Découverte et correctif officiel

🔩 Beteiligte Komponenten

AF_ALG

Socket-Schnittstelle, die die kryptografischen Primitiven des Linux-Kernels dem Userspace bereitstellt.

splice()

Mechanismus zur kopiefreien Übertragung von Seiten zwischen Dateideskriptoren.

authencesn

AEAD-IPsec-ESN-Template, das den Zielpuffer als temporären Arbeitsbereich verwendet.

🧨 Grundursache

Die in algif_aead.c eingeführte Optimierung ermöglichte die direkte Verkettung der Page-Cache-Seiten in der Ziel-Scatterlist über sg_chain().

Input SGL:   AAD || Ciphertext || Tag (page cache)
                                     ↑
Output SGL:  AAD || Ciphertext ------+

authencesn schreibt dann direkt in die Page-Cache-Seiten der Zieldatei.

🎯 Angriffsfläche

🖥️ Betroffene Systeme

🧪 Demonstration (nur Labor)

⚠️ Nur für isolierte Testumgebungen.

Vorabprüfungen

uname -r
lsmod | grep algif_aead
python3 --version

Klonen des PoC

git clone https://github.com/theori-io/copy-fail-CVE-2026-31431.git
cd copy-fail-CVE-2026-31431

Ausführung

python3 copy_fail_exp.py

🛡️ Erkennung & IOCs

Auditd

auditctl -a always,exit -F arch=b64 -S socket -F a0=38 -k af_alg_socket
auditctl -a always,exit -F arch=b64 -S splice -k splice_monitor

Verhaltensbasierte Erkennung

ps aux | awk '$1 == "root"'
ss -tlnp

Defensive Überwachung

• eBPF-Monitoring
• Falco
• Wazuh
• EDR-Speicherinspektion
• Page-Cache-Anomalieerkennung

🛡️ Mitigation

Deaktivierung von algif_aead

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead

Seccomp-Einschränkung

{
  "defaultAction": "SCMP_ACT_ALLOW",
  "syscalls": [
    {
      "names": ["socket"],
      "action": "SCMP_ACT_ERRNO",
      "args": [
        { "index": 0, "value": 38, "op": "SCMP_CMP_EQ" }
      ]
    }
  ]
}

✅ Offizieller Patch

Der Patch a664bf3d603d entfernt die verwundbare In-Place-Operation in algif_aead.c.

sudo apt update && sudo apt upgrade
sudo reboot

📅 Zeitleiste

🔗 Referenzen

📈 SEO / Schlüsselwörter

linux kernel security, CVE-2026-31431, copy fail, page cache, AF_ALG, authencesn, linux LPE, kernel exploit, linux hardening, security research, dirty pipe, kernel mitigation

⚖️ Rechtlicher Hinweis

Dieses Repository dient ausschließlich:

• der defensiven Forschung,
• autorisierten Laboren,
• der Cybersicherheitsbildung,
• der Linux-Sicherheitsanalyse.

Jede unbefugte Nutzung ist illegal.

👤 Credits

Originalforschung

• theori.io
• Linux-Security-Research-Community

Französischsprachiges Projekt

• @Maxime288

⭐ Unterstütze Linux-Kernel-Sicherheitsforschung

🛡️ Bewusstsein • Mitigation • Defensive Forschung
🔁 Teile das Projekt mit der Cybersicherheits-Community
⭐ Unterstütze die Linux-Sicherheitsforschung

---