🔐 CVE-2026-31431 - Kernel Exploitation Research Framework

Modulares Framework zum Studium einer Privilege-Escalation-Schwachstelle (LPE) unter Linux, basierend auf AF_ALG + Page Cache Injection-Techniken.

🎯 Ziel

Dieses Projekt ist konzipiert für:

• Schwachstellenforschung im Linux-Kernel
• Vermittlung realer Exploitation-Techniken (LPE)
• Durchführung kontrollierter Cybersicherheits-Labore

⚙️ Was macht dieses Projekt?

Dieses Framework implementiert eine Technik, die Folgendes ermöglicht:

• Ändern des Speicherinhalts (Page Cache) von SUID-Binaries
• Verändern ihres Verhaltens zur Laufzeit
• Versuch, Privilegien auf root zu erweitern, ohne das Binary auf der Festplatte zu verändern

🧠 Wie funktioniert die Schwachstelle?

Die Exploitation basiert auf der Kombination mehrerer Kernel-Mechanismen:

1. AF_ALG (Linux Crypto API)

Ermöglicht die Interaktion mit kryptografischen Algorithmen aus dem Userspace über spezielle Sockets.

2. Manipuliertes sendmsg()

Speziell konstruierte Strukturen werden an den Kernel gesendet, um unerwartetes Verhalten auszulösen.

3. splice()

Ermöglicht die direkte Übertragung von Daten zwischen Dateideskriptoren im Kernelspace (Zero-Copy).

4. Page Cache Injection

Der Speicherinhalt von Dateien wird verändert, ohne die Datei auf der Festplatte zu verändern.

✔️ Ergebnis: Das Binary führt modifizierten Code nur im Speicher aus

🔥 Ausführungsablauf

1. Automatische Systemerkennung (Kernel, Mitigationen)
2. Auswahl eines SUID-Binaries (z. B. /usr/bin/su)
3. Laden des Payloads
4. Aufteilung in 4-Byte-Chunks
5. Injektion mittels AF_ALG + splice()
6. Veränderung des Binary-Verhaltens
7. Ausführung des modifizierten Binaries im Speicher

🚀 Verwendung

Grundlegende Ausführung:

python3 main.py

Erwarteter Ablauf:

[+] Scanne System...
[+] Verwundbarer Kernel erkannt
[+] Ziel gefunden: /usr/bin/su
[+] Injiziere Payload...
[+] Ausführung abgeschlossen

📌 Anforderungen

• Potenziell verwundbares Linux-System
• Kernel ohne zugehörige Patches
• Unterstützung für:

/proc/crypto   → AF_ALG
splice syscall → Kernel-Übertragung

• Leseberechtigungen für SUID-Binaries

📁 Projektstruktur

exploit/
 ├── core.py        # Exploitation-Engine
 ├── payloads.py    # Payload-Verwaltung
 ├── targets.py     # Zieldefinitionen
 └── detectors.py   # Schwachstellenerkennung

modules/
 ├── logger.py      # Strukturiertes Logging
 ├── stealth.py     # Anti-Erkennung
 └── utils.py       # Hilfsfunktionen

main.py             # Einstiegspunkt

⚠️ Einschränkungen

• ❌ Kein universeller Exploit
• ❌ Abhängig von der exakten Kernel-Version
• ❌ Basiert auf Race Conditions (nicht deterministisch)

Kann fehlschlagen, wenn Mitigationen vorhanden sind, wie:

• SELinux (enforcing)
• AppArmor
• GRSecurity

🧪 Empfohlene Verwendung

• Virtuelle Maschinen
• Isolierte Labore
• Kontrollierte Testumgebungen

👨‍🏫 Lehrzweck

Dieses Framework ermöglicht das Vermitteln von:

• Kernel-Exploitation
• Privilege-Escalation-Techniken (LPE)
• Page Cache Attacks
• Race Conditions
• Userland ↔ Kernel-Interaktion

⚠️ Haftungsausschluss

Dieses Projekt dient ausschließlich:

• Bildungszwecken
• Forschung
• Kontrollierten Umgebungen

❌ Nicht auf Systemen ohne Autorisierung verwenden.

📜 Lizenz

MIT License