CVE-2026-31431 — „Copy Fail“-Forschungs-Repository

Eine 100 % zuverlässige lokale Privilegieneskalation unter Linux, die seit 2017 alle gängigen Distributionen betrifft.

Ein Logikfehler in authencesn, verkettet über AF_ALG und splice() zu einem 4-Byte-Schreibzugriff auf den Page-Cache — fast ein Jahrzehnt lang still ausnutzbar.

⚠️ Haftungsausschluss

Der gesamte Code und die Dokumentation in diesem Repository dienen ausschließlich autorisierten Sicherheitsforschungs- und Bildungszwecken.

Das Ausführen von Exploit-Code gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche schriftliche Genehmigung zum Testen haben, ist illegal. Durch die Nutzung dieses Repositorys übernehmen Sie die volle Verantwortung für Ihre Handlungen.

Übersicht

Warum Copy Fail anders ist

Repository-Struktur

.
├── README.md                          ← Sie befinden sich hier
├── LICENSE                            ← MIT
├── .gitignore
├── docs/
│   ├── analysis-report.md             ← Umfassende Sicherheitsanalyse
│   ├── analysis-report.html           ← Gestylte HTML-Version
│   ├── exploit-walkthrough.md         ← Zeilenweise PoC-Analyse
│   └── exploit-walkthrough.html       ← Gestylte HTML-Version
└── poc/
    ├── README.md                      ← PoC-Bedienungsanleitung
    ├── copy_fail_exp.py               ← Offizieller PoC (732 Bytes, verschleiert)
    ├── copy_fail_exp_readable.py      ← Entschleierte + kommentierte Version
    ├── copy_fail_exp_compat.py        ← Python-3.6+-Kompatibilität (ctypes splice)
    ├── copy_fail_exp_alpine.py        ← Alpine-Linux-Variante
    ├── copy_fail_exp.c                ← C-Implementierung (keine Abhängigkeiten)
    ├── copy_fail_exp.go               ← Go-Implementierung (keine Abhängigkeiten)
    ├── copy_fail_rust/                ← Rust-Implementierung
    │   ├── Cargo.toml
    │   └── src/main.rs
    ├── check_vulnerable.py            ← Schwachstellen-Scanner
    └── mitigate.sh                    ← Ein-Klick-Mitigationsskript

Schnellstart

Vorgefertigte Version herunterladen

# Von GitHub Releases — vorgefertigte Binärdateien (Linux amd64/arm64) + alle Python-Skripte
wget https://github.com/nisec-eric/cve-2026-31431/releases/latest/download/copy-fail-go-linux.tar.gz
wget https://github.com/nisec-eric/cve-2026-31431/releases/latest/download/copy-fail-c-linux.tar.gz
wget https://github.com/nisec-eric/cve-2026-31431/releases/latest/download/copy-fail-python.tar.gz

tar xzf copy-fail-go-linux.tar.gz
tar xzf copy-fail-c-linux.tar.gz
tar xzf copy-fail-python.tar.gz

# Go-Statikbinärdatei (kein Python erforderlich)
chmod +x copy-fail-exp-amd64
./copy-fail-exp-amd64

# C-Statikbinärdatei
chmod +x copy-fail-exp-c-amd64
./copy-fail-exp-c-amd64

# Oder Python-Skripte direkt verwenden
python3 check_vulnerable.py

📦 Releases werden automatisch über GitHub Actions bei jedem Push eines v*-Tags erstellt. Go- und C-Binärdateien werden für linux/amd64 und linux/arm64 als statische Binärdateien gebaut.

1. Prüfen, ob Ihr System verwundbar ist

python3 poc/check_vulnerable.py

2. Mitigation anwenden (kein Neustart erforderlich)

sudo bash poc/mitigate.sh

Dies setzt das Kernelmodul algif_aead auf die Blacklist — bricht bei 99 % der Systeme nichts.

3. Richtig patchen — Kernel aktualisieren

# Debian/Ubuntu
sudo apt update && sudo apt upgrade linux-image-*

# RHEL/CentOS/Fedora
sudo dnf update kernel

# In den gepatchten Kernel neu starten
sudo reboot

4. Verifizieren

python3 poc/check_vulnerable.py
# Exit-Code 1 = geschützt ✓

PoC-Exploits

WARNUNG: Nur auf Systemen ausführen, die Ihnen gehören oder für die Sie eine Testgenehmigung haben.

# C
gcc -static -o exp ./poc/copy_fail_exp.c && ./exp

# Python
python3 poc/copy_fail_exp.py
python3 poc/copy_fail_exp_compat.py        # Python < 3.10

# Go
go build -o exp ./poc/copy_fail_exp.go && ./exp

# Rust
cd poc/copy_fail_rust && cargo run --release

Alle Versionen akzeptieren ein optionales Argument, um eine andere SUID-Binärdatei anzusteuern:

python3 poc/copy_fail_exp.py /usr/bin/passwd
./exp /usr/bin/sudo

Dokumentation

📄 Sicherheitsanalyse-Bericht (HTML)

Vollständige Schwachstellenbewertung mit:

• Technischer Grundursache (Scatterlist-Seitenherkunft, authencesn-Scratch-Schreibzugriff)
• Betroffene Versionen und Patch-Status der Distributionen
• Abhilfe für Bare-Metal-Linux, Kubernetes, Docker, WSL2
• Erkennungs- und Überwachungsleitfaden (auditd, SELinux, Dateiintegrität)
• Offenlegungs-Zeitplan

📄 Exploit-Walkthrough (HTML)

Zeilenweise PoC-Analyse mit:

• Vollständig entschleierter Quelle mit Anmerkungen
• Kernel-Interna: AF_ALG-Socket-Ablauf, splice()-Page-Cache-Zustellung, sg_chain()-Mechanik
• Der authencesn-ESN-Scratch-Schreibzugriff, der Scatterlist-Grenzen überschreitet
• Payload-Analyse (160-Byte-ELF-Shellcode)
• Angriffsvarianten: /etc/passwd-Injektion, Shared-Library-Ansteuerung, Container-Escape
• Angriffsgrenzen und -einschränkungen

Auswirkungen nach Umgebung

Wichtige Referenzen

• copy.fail — Offizielle Schwachstellenseite
• Xint-Blog — Technischer Bericht — Tiefgehende Grundursachenanalyse
• NVD-Eintrag
• GitHub-Advisory GHSA-2274-3hgr-wxv6
• Kernel-Patch (Commit a664bf3d603d)
• Offizielles PoC-Repository
• Red-Hat-Advisory | Ubuntu | SUSE | Amazon Linux

Mitwirken

Beiträge sind willkommen:

• Weitere PoC-Implementierungen (Zig usw.)
• Distributionsspezifische Testergebnisse
• Erkennungsregeln (Snort, Suricata, YARA, Sigma)
• Übersetzungen der Dokumentation

Bitte eröffnen Sie ein Issue oder einen Pull Request.

Lizenz

MIT — Verantwortungsvoll verwenden.