CVE-2026-31431 „Copy Fail“ — Linux-Kernel-LPE-Labor

Überblick

Dieses Repository dokumentiert eine vollständige Laboruntersuchung von CVE-2026-31431 (Copy Fail), einer lokalen Schwachstelle mit hohem Schweregrad zur Rechteausweitung (LPE) im kryptografischen Modul algif_aead des Linux-Kernels, die am 29. April 2026 offengelegt wurde.

CVSS-Score: 7,8 (Hoch)
Testkernel: 6.18.12+kali-amd64
Labordatum: 11. Mai 2026

Inhalt

Datei	Beschreibung
`CVE-2026-31431_Copy_Fail_Lab_Documentation_v2.md`	Vollständiger Laborbericht mit allen Schritten und Ergebnissen
`screenshots/`	Terminal-Screenshots aus dem Live-Labortest
`test_cve_2026_31431.py`	Sicherer, nicht-destruktiver Schwachstellendetektor
`exploit_cve_2026_31431.py`	PoC-Exploit (nur für Forschungszwecke)

Wichtigste Erkenntnisse

Kernel 6.18.12+kali-amd64 als VERWUNDBAR bestätigt
algif_aead lädt bei Bedarf automatisch nach — im Ruhezustand nicht vorhanden
Überschreiben des Page-Cache von /etc/passwd erhöhte uid=1000 → uid=0
su kali schlug fehl (PAM validiert erneut über loginuid)
sudo -u root /bin/bash war erfolgreich — Root-Shell erlangt
Keine Spuren auf der Festplatte — Dateiintegritätsüberwachung umgangen
Die blacklist-Direktive ist unzureichend — install /bin/false erforderlich
Abschwächung durch sicheren Detektor als wirksam bestätigt

Abschwächung

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true
modprobe -n -v algif_aead   # Überprüfen: sollte „install /bin/false“ anzeigen

Gepatchte Kernelversionen: 6.18.22+ / 6.19.12+ / 7.0+

Haftungsausschluss

Dieses Repository dient ausschließlich Bildungs- und defensiven Sicherheitsforschungszwecken. Alle Tests wurden auf einer isolierten, forschungseigenen virtuellen Maschine durchgeführt. Verwenden Sie diese Tools nicht gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche schriftliche Genehmigung zum Testen haben.

CVE-2026-31431-CopyFail-Lab

Beliebteste