CVE-2026-31431-Copy-Fail-add-arm64

Resumen de la vulnerabilidad

Principio de la vulnerabilidad

En 2017, el kernel introdujo una optimización de cifrado in-place en el módulo criptográfico algif_aead. Esta optimización provocó que las páginas de page-cache se colocaran incorrectamente en un scatterlist de destino escribible. Un atacante puede combinar un socket AF_ALG con la llamada al sistema splice() para escribir datos en el page cache de archivos arbitrarios, incluidos archivos de solo lectura propiedad de root.

Cadena de ataque: socket AF_ALG → splice() → primitiva de escritura en page-cache → manipulación del page cache de binarios setuid → ejecución del archivo para obtener privilegios de root

Características del ataque:

• Sin condición de carrera (no es una race condition, es un defecto lógico directo)
• No requiere características de depuración del kernel
• No requiere adaptación de offsets específicos de arquitectura
• El script de explotación genérico tiene solo ~732 bytes y funciona en todas las distribuciones principales

Alcance afectado

Distribuciones verificadas como afectadas

Las distribuciones Debian, Arch, Fedora, Rocky, Alma, Oracle, entre otras, también se ven afectadas en el mismo rango de kernels.

Rango de versiones de kernel afectadas

Todas las versiones de kernel inferiores a las siguientes versiones corregidas están afectadas:

Métodos de verificación

1. Comprobar la versión del kernel

uname -r

Compare la salida con las versiones corregidas de la tabla anterior; si es inferior, el sistema está afectado.

2. Comprobar conexiones AF_ALG

# Ver si hay conexiones AF_ALG activas
lsof | grep AF_ALG

# Ver el estado de los sockets AF_ALG
ss -xa | grep alg

3. Comprobar si el módulo algif_aead está cargado

lsmod | grep algif_aead

Si hay salida, el módulo está cargado y existe riesgo de explotación.

4. Verificación de la vulnerabilidad (solo en entornos de prueba autorizados)

# Clonar el repositorio del PoC
git clone https://github.com/cx330zer0/CVE-2026-31431-Copy-Fail-add-arm64.git
cd CVE-2026-31431-Copy-Fail-add-arm64

# Ejecutar el PoC (requiere identidad de usuario sin privilegios)
python3 copy-fail-dual-arch.py

Si el PoC obtiene una shell de root con éxito, el sistema es vulnerable.