🧬 ROSN-LR5 – Kernel-LPE-PoC- und Mitigation-Toolkit (CVE-2026-31431)

Offensives und defensives Werkzeug für die Schwachstelle CVE-2026-31431 auf Linux-Systemen.
Es kombiniert einen Proof-of-Concept für lokale Privilegieneskalation (LPE) mit Dienstprogrammen zur Überprüfung und vorübergehenden Abschwächung des auf AF_ALG basierenden Angriffsvektors.

⚖️ AUSSCHLIESSLICH ETHISCHER GEBRAUCH: Diese Software wird ausschließlich zu Bildungs- und Sicherheitsaudit-Zwecken bereitgestellt. Sie darf nur auf eigenen Systemen oder solchen ausgeführt werden, für die eine ausdrückliche Genehmigung vorliegt. Der Autor übernimmt keine Haftung für Missbrauch.

✳️ Funktionen

🔥 LPE-Ausnutzung

• Vollständiger PoC, der Privilegien auf root durch Manipulation des AF_ALG-Sockets erhöht.
• Payload-Injektion mit os.splice() und zlib-Dekompression über /usr/bin/su.
• Persistente Root-Shell nach Abschluss des Exploits.

🛡️ Abschwächung

• Überprüfung des Systemstatus:
  • Verfügbarkeit und Laden des Moduls algif_aead.
  • Vorhandensein der Sperrdatei in /etc/modprobe.d/disable-algif.conf.
  • Informationen zu Betriebssystem und Kernel.
• Anwenden der vorübergehenden Abschwächung (erfordert root):
  • Erstellt die Sperrdatei install algif_aead /bin/false.
  • Versucht, das Modul mit rmmod zu entladen.
  • Überbrückung, bis der offizielle Kernel-Patch angewendet wird.
• Entfernen der Abschwächung (erfordert root):
  • Löscht die Sperrdatei, um das normale Laden des Moduls wiederherzustellen.

🔍 Privilegien-Audit

• Zeigt UID, Benutzer, Gruppen und Mitgliedschaft in sudo oder wheel.

🧪 Voraussetzungen

• Betriebssystem: Linux (jede Distribution mit potenziell verwundbarem Kernel).
• Python: 3.8 oder höher.
• Berechtigungen:
  • Ausnutzung: erfordert nur Lesezugriff auf /usr/bin/su.
  • Abschwächung (anwenden/entfernen): erfordert root (sudo).

📦 Installation

Klonen Sie das Repository und wechseln Sie in das Verzeichnis:

git clone https://github.com/ROSNLR5/MitigationToolkit-ROSN-LR5-Full.git
cd MitigationToolkit-ROSN-LR5-Full
chmod +x rosnlr5_full.py

🚀 Verwendung

Führen Sie das Skript mit Python 3 aus:

python3 rosnlr5_full.py

Das Hauptmenü bietet vier Optionen:

1. Benutzerprivilegien prüfen – grundlegende Informationen zur aktuellen Sitzung.
2. ROOT-Exploit ausführen (CVE-2026-31431) – startet den PoC zur Eskalation.
3. Abschwächungswerkzeuge – Untermenü mit Überprüfung, Anwenden und Entfernen der Abschwächung.
4. Über – Credits und Beschreibung des Werkzeugs.

🔧 Untermenü zur Abschwächung

Innerhalb von Option 3 finden Sie:

• Systemstatus überprüfen – zeigt, ob das Modul algif_aead verfügbar/geladen ist und ob die Sperrdatei existiert.
• Vorübergehende Abschwächung anwenden – erstellt /etc/modprobe.d/disable-algif.conf und entlädt das Modul. Erfordert sudo.
• Vorübergehende Abschwächung entfernen – löscht die Sperrdatei. Erfordert sudo.
• Zurück zum Hauptmenü.

⚠️ Wichtiger Hinweis zur Abschwächung

Die vorübergehende Abschwächung ersetzt keinen Kernel-Patch. Sie blockiert nur das Laden des verwundbaren Moduls, während das System aktualisiert wird.
Nach dem Anwenden der Abschwächung wird empfohlen, den Kernel mit den offiziellen Patches Ihrer Distribution zu aktualisieren.

👤 Credits

• Originalforschung zur Schwachstelle und Basis-PoC: Copyfile
• Entwicklung des Skripts und Erweiterung um Abschwächungswerkzeuge: ROSNLR5

📜 Lizenz

Dieses Projekt wird ohne ausdrückliche Lizenz bereitgestellt. Der Code wird "wie besehen" ohne Gewährleistung bereitgestellt. Die Nutzung erfolgt auf eigene Verantwortung, und Sie müssen die lokalen Gesetze einhalten.

ROSN LR5 – CVE 2026 31431 verstehen und eindämmen