CVE-2026-31431 — Copy Fail

中文版

732 Bytes para Root en Todas las Principales Distribuciones de Linux

CVE-2026-31431 (Copy Fail) es un error lógico en la plantilla criptográfica authencesn del kernel de Linux. Permite que un usuario local sin privilegios active una escritura determinista y controlada de 4 bytes en la caché de páginas de cualquier archivo legible del sistema.

Resumen

• ID de CVE: CVE-2026-31431
• Tipo: Escalada de Privilegios Local / Escape de Contenedor
• Afecta: Kernels de Linux con CONFIG_CRYPTO_AUTHENC (prácticamente todas las principales distribuciones desde 2017)
• Descubierto por: Xint Code Research Team, con la idea inicial del investigador de Theori, Taeyang Lee

Cómo Funciona

El error encadena dos comportamientos:

1. AF_ALG + splice: splice() transfiere páginas de la caché de páginas por referencia al scatterlist de un socket AF_ALG. Para el modo de descifrado AEAD in-place, las páginas de etiqueta (de la caché de páginas del archivo objetivo) permanecen encadenadas al scatterlist de salida mediante sg_chain().

2. Escritura temporal en authencesn: crypto_authenc_esn_decrypt() usa dst[assoclen + cryptlen] (más allá de la etiqueta, dentro de las páginas de la caché de páginas) como espacio temporal para la reorganización del número de secuencia ESN, escribiendo 4 bytes controlados por el atacante y nunca restaurándolos.

La página corrupta nunca se marca como sucia, por lo que el archivo en disco permanece sin cambios. Pero la caché de páginas en memoria es lo que realmente se lee, lo que hace que la corrupción sea inmediatamente visible en todo el sistema.

Exploit

El exploit corrompe la caché de páginas de /usr/bin/su (o cualquier binario setuid) con un pequeño payload de shellcode, 4 bytes a la vez. Después de todas las iteraciones, ejecutar su ejecuta el payload y otorga una shell de root.

Python (exp.py)

python3 exp.py

Golang (exp.go)

go run exp.go
go build -ldflags "-w -s" -trimpath -o exp exp.go

tinygo build -o exp exp.go

Impacto

Referencias

• copy.fail — Aviso Oficial
• Blog de Xint — Copy Fail: 732 Bytes para Root
• Entrada en NVD
• Reescritura en C

Aviso Legal

Este repositorio se publica únicamente con fines educativos y de investigación defensiva. No use este código en sistemas que no sean de su propiedad o para los que no tenga permiso explícito de prueba.