thrandomv/cve-2026-31431-detectionDefensives Erkennungspaket für CVE-2026-31431 (Linux-Kernel AF_ALG LPE). Sigma-, Falco-, auditd-, KQL- und EQL-Regeln, zugeordnet zu MITRE ATT&CK T1068/T1611. Enthält Erkennungslogik, die für auditd-, eBPF- und EDR-Telemetrie-Pipelines entwickelt wurde.
Eine produktionsreife Sammlung von Erkennungsregeln und Triage-Anleitungen für
CVE-2026-31431, eine lokale Privilegieneskalation im Linux-Kernel in der algif_aead
Krypto-Schnittstelle, die von Theori (Xint Code Research) offengelegt wurde. Die Schwachstelle
nutzt eine In-Place-AEAD-Optimierung aus, um einem unprivilegierten Benutzer zu ermöglichen,
einen kontrollierten Schreibvorgang in den Page Cache einer beliebigen lesbaren Datei durchzuführen. Dieses
Repository enthält Sigma-Regeln (einschließlich einer verhaltensbasierten Kettenregel), auditd-
Konfigurationen, eine Falco-Regel für Container, KQL- und Elastic-EQL-Hunt-Abfragen
sowie ein schrittweises Triage-Playbook für Analysten. Kein Exploit-Code — ausschließlich defensiver
Inhalt für SOC-Analysten und Detection Engineers.
Enthält Erkennungslogik, die für auditd-, eBPF- und EDR-Telemetrie-Pipelines entwickelt wurde.
| Feld | Detail |
|---|
| CVE | CVE-2026-31431 |
| Spitzname | Copy Fail |
| Komponente | Linux-Kernel algif_aead (AF_ALG-Krypto-Schnittstelle) |
| Typ | Lokale Privilegieneskalation (LPE) |
| CVSS | 7.8 |
| Primitive | Deterministischer 4-Byte-kontrollierter Schreibvorgang in den Page Cache einer beliebigen lesbaren Datei |
| Eskalationspfad | /etc/passwd-Page-Cache vergiften → getpwnam() gibt UID 0 zurück → su landet als root |
| Container-Risiko | Wenn der Host-Kernel nicht gepatcht ist und AF_ALG nicht durch seccomp blockiert wird, handelt es sich um eine Container-Escape-Primitive (T1611) |
| Patch | Rückgängigmachung von algif_aead auf Out-of-Place-AEAD-Operationen (Upstream) |
| Phase | Beobachtbares Verhalten | Erkennung |
|---|---|---|
| Initial | AF_ALG-Socket (Familie 38) durch Nicht-Root | Sigma-Regel 1 · auditd afalg_socket · Falco |
| Einrichtung | bind() mit authencesn-AEAD-String | Sigma-Regel 2 (Schlüsselwort) · auditd afalg_bind |
| Exploit-Auslöser | splice() auf AF_ALG-fd | auditd splice_syscall · Falco/eBPF |
| Nachbedingung | EBADMSG recv() von unprivilegiertem Prozess | Syscall-Kettenkorrelation · auditd |
| Auswirkung | /etc/passwd-FIM-Alarm + Zugriffsspitze | Dateiintegritätsüberwachung · /proc/<pid>/fd |
| Privilegienwechsel | su-Ausführung nach AF_ALG-Aktivität | Sigma-Regel 3 · auditd execve · PAM-Logs |
Wenden Sie den Upstream-Fix an, der algif_aead auf Out-of-Place-AEAD-Operationen zurücksetzt.
Distro-Advisories:
Temporäre Abschwächung (ungepatchte Systeme):
Platzieren Sie install algif_aead /bin/false in /etc/modprobe.d/disable-algif-aead.conf,
oder wenden Sie ein seccomp-Profil an, das socket-Aufrufe mit AF_ALG (Familie 38) blockiert.
Die primären legitimen Nutzer von AF_ALG-Sockets sind cryptsetup (LUKS), fscrypt
und einige kernel-krypto-bewusste VPN-Clients. In Produktionsumgebungen laufen diese Prozesse
fast ausschließlich als root, sodass der uid != 0-Filter die überwiegende Mehrheit
der benignen Aktivitäten eliminiert. Der spezifische AEAD-String authencesn(hmac(sha256),cbc(aes)) hat
keine bekannte legitime Produktionsnutzung und kann bei Beobachtung als kritisch behandelt werden.
Dieses Repository enthält ausschließlich defensiven Erkennungsinhalt. Kein Exploit-Code, Proof-of-Concept-Skripte, Syscall-Offsets oder Shellcode sind enthalten oder werden hinzugefügt.
