CVE-2026-31431 - Copy Fail - Erkennungsskript

Python-Skript zur Überprüfung, ob ein Linux-System anfällig für die Schwachstelle CVE-2026-31431 (Copy Fail) ist, eine lokale Privilegieneskalation im Linux-Kernel.

Die Schwachstelle kurz erklärt

Seit 2017 (Commit 72548b093ee3) verwaltet das kryptografische Kernel-Modul algif_aead In-Place-Operationen fehlerhaft. Über splice() kann ein nicht-privilegierter Benutzer den Page Cache einer setuid-Binärdatei beschädigen und Root-Rechte erlangen, ohne die Festplatte zu berühren.

CVSS: 7.8 (Hoch)
Betroffene Versionen: Linux-Kernel 4.13 bis 6.18.21 / 6.19.11
Behobene Versionen: 6.18.22+, 6.19.12+, 7.0+

Was das Skript prüft

#	Prüfung
1	Kernel-Version (anfälliger Bereich)
2	Modul `algif_aead` geladen oder ladbar
3	Socket `AF_ALG SOCK_SEQPACKET` ohne Privilegien zugänglich
4	`os.splice()` verfügbar (direkter Python-Exploit)
5	Setuid-Binärdateien für alle lesbar (`sudo`, `passwd`...)
6	Aktive Schutzmaßnahmen (SELinux, AppArmor, Modprobe-Blacklist)

Verwendung

python3 check_cve_2026_31431.py

Keine externen Abhängigkeiten. Funktioniert ohne Root.

Nur Erkennung

Dieses Skript analysiert lediglich das System. Es nutzt die Schwachstelle nicht aus, lädt keine Module und schreibt nichts auf die Festplatte.

Umgehung (falls kein Update möglich)

echo 'install algif_aead /bin/false' | sudo tee /etc/modprobe.d/algif_aead-block.conf

Diese Umgehung funktioniert nicht auf RHEL-Distributionen (Modul fest im Kernel integriert).

Copy-Fail---CVE-2026-31431

Beliebteste