public_cve_detections

PARA UNA MEJOR GESTIÓN A LARGO PLAZO DE LAS PUBLICACIONES DE DETECCIÓN

ESTE REPOSITORIO SERÁ ELIMINADO EN JUNIO DE 2026

POR FAVOR, USE EL OTRO REPOSITORIO EN EL FUTURO

CVE-2026-31431 "Copy Fail" — Paquete de Detección y Respuesta

Publicado: 2026-04-30
CVSSv3: 7.8 (Alta)
Tipo: Escalada Local de Privilegios (LPE)
Subsistema: Plantilla criptográfica algif_aead / del kernel de Linux Kernels de Linux 4.14 – 6.18.21 (prácticamente todas las distribuciones desde 2017)

auditd cve_2026_31431_afalg_socket CVE-2026-31431 Copy Fail: AF_ALG socket (family 38) created by unprivileged process cve,privilege_escalation,linux,kernel,crypto, auditd cve_2026_31431_splice CVE-2026-31431 Copy Fail: splice() syscall detected — monitor for correlation with AF_ALG socket rule cve,privilege_escalation,linux,kernel, 112001 auditd cve_2026_31431_splice audit.pid CVE-2026-31431 Copy Fail CRITICAL: AF_ALG socket creation followed by splice() from same process — active exploitation likely cve,privilege_escalation,linux,kernel,crypto,high_confidence, 112001 auditd cve_2026_31431_passwd_access CVE-2026-31431 Copy Fail: /etc/passwd access following AF_ALG socket creation — consistent with PoC target selection cve,privilege_escalation,linux,kernel, 112001 auditd cve_2026_31431_su_exec|cve_2026_31431_sudo_exec CVE-2026-31431 Copy Fail: su/sudo execution following AF_ALG socket creation — possible post-exploitation cve,privilege_escalation,linux,kernel, auditd cve_2026_31431_module_load ^.*(python|python3|insmod|modprobe).*$ CVE-2026-31431 Copy Fail: Kernel module load attempt — verify algif_aead mitigation has not been bypassed cve,privilege_escalation,linux,kernel, auditd cve_2026_31431_modprobe_conf CVE-2026-31431 Copy Fail: /etc/modprobe.d modified — verify algif_aead disable config has not been removed cve,privilege_escalation,linux,kernel, ``` ## Plantilla de Evento MISP

El PoC apunta a `/etc/passwd`: encuentra el desplazamiento del campo UID del usuario en ejecución y lo sobrescribe con `0000`, luego invoca `su` para obtener un shell de root. --- ## Limitaciones de detección > **Lee esta sección antes de implementar cualquier regla más abajo.** Este exploit tiene dos propiedades que limitan significativamente la cobertura de detección: **1. La escritura va a la caché de páginas, no al sistema de archivos.** Cualquier herramienta de detección que monitoree eventos del sistema de archivos — `inotify`, `fanotify`, AIDE, Tripwire, watches de rutas de auditd — **no** observará la modificación. El archivo en disco nunca se escribe. Esto significa que las banderas `-p w` (escritura) en los watches de rutas de auditd para `/usr/bin/su` o `/etc/passwd` no capturarán la escritura real de explotación. **2. El mecanismo utiliza interfaces legítimas del kernel.** Los sockets `AF_ALG`, `splice()` y `authencesn` tienen usos legítimos (IPsec, autopruebas del kernel, E/S estilo sendfile). La detección debe centrarse en la *combinación* de estas primitivas en lugar de una sola aislada, y se deben esperar falsos positivos en sistemas que ejecuten IPsec o realicen pruebas criptográficas del kernel. **Lo que la detección PUEDE capturar:** - La llamada al sistema `socket(AF_ALG, SOCK_SEQPACKET, 0)` - La llamada al sistema `splice()` correlacionada con la anterior, especialmente cerca del acceso a binarios setuid - El script PoC en sí (mediante YARA) - La cadena de algoritmo específica `authencesn(hmac(sha256),cbc(aes))` en la memoria del proceso o archivos de script **Lo que la detección NO PUEDE capturar:** - La escritura real en la caché de páginas (en memoria, sin evento del sistema de archivos) - El uso posterior a la explotación de la entrada modificada de la caché de páginas (parece una llamada normal a `su` o `passwd`) - Variantes que evitan Python o la cadena de algoritmo específica --- ## Mitigación inmediata Antes de implementar reglas de detección, aplica esta mitigación en cualquier host sin parche:```bash # Disable algif_aead kernel module — blocks the exploit primitive entirely echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf sudo rmmod algif_aead 2>/dev/null || true

> **Nota:** El comando `rmmod` fallará si el módulo no está cargado actualmente; esto es aceptable. La configuración de `modprobe.d` evita cargas futuras. Esta mitigación no tiene impacto en cargas de trabajo estándar de TLS, SSH o cifrado de sistemas de archivos — solo afecta a IPsec con Números de Secuencia Extendidos usando la plantilla `authencesn`, lo cual es poco común fuera de puertas de enlace VPN dedicadas. --- ## Regla YARA Guardar como `cve_2026_31431.yar` > **Alcance de escaneo:** Esta regla está diseñada para escanear archivos de script Python en disco o extraídos de volcados de memoria. Coincidirá con el PoC conocido y variantes cercanas. NO detectará la actividad del exploit a nivel de syscall — use las reglas de auditd/Wazuh para eso.```yara rule CVE_2026_31431_CopyFail_PoC_HighConfidence { meta: description = "High-confidence match: CVE-2026-31431 Copy Fail PoC or close variant" author = "Detection Engineering" reference = "https://xint.io/blog/copy-fail-linux-distributions" cve = "CVE-2026-31431" date = "2026-04-30" severity = "High" cvss = "7.8" strings: // Algorithm string unique to this exploit path — very high fidelity $alg_full = "authencesn(hmac(sha256),cbc(aes))" ascii // Specific socket call signature from PoC: AF_ALG=38, SOCK_SEQPACKET=5 $socket_call = "socket(38,5,0)" ascii // SOL_ALG socket option (decimal 279) $solalg = "setsockopt(279" ascii // Hex key/iv payload written via setsockopt in PoC $key_payload = "0800010000000010" ascii // splice() usage in context of AEAD operations $splice = "splice(" ascii // Target indicators from PoC (page-cache corruption targets) $target_passwd = "/etc/passwd" ascii $target_su = "/usr/bin/su" ascii // AF_ALG aead bind strings $aead_bind = "\"aead\"" ascii condition: // High-confidence: unique algorithm string alone is sufficient $alg_full or // Medium-confidence: socket primitive + option number ($socket_call and $solalg) or // Medium-confidence: splice into AEAD socket targeting a setuid path ($aead_bind and $splice and ($target_passwd or $target_su)) or // PoC hex payload present alongside splice ($key_payload and $splice) } rule CVE_2026_31431_CopyFail_Mechanism { meta: description = "Behavioral: AF_ALG AEAD + splice combination suggestive of CVE-2026-31431 technique" author = "Detection Engineering" reference = "https://xint.io/blog/copy-fail-linux-distributions" cve = "CVE-2026-31431" date = "2026-04-30" severity = "Medium" note = "Higher false positive rate than HighConfidence rule — review matches in context" strings: $authencesn = "authencesn" ascii nocase $af_alg_num = "socket(38" ascii $sol_alg_num = "279" ascii $splice = "splice(" ascii condition: ($authencesn and $splice) or ($af_alg_num and $sol_alg_num and $splice) }

--- ## Parche y Remediación ### Parche del Kernel | Rama | Versión Corregida | Commit de Corrección | |--------|--------------|------------| | Stable 6.18.x | 6.18.22 | `fafe0fa2995a0f7073c1c358d7d3145bcc9aedd8` | | Stable 6.19.x | 6.19.12 | `ce42ee423e58dffa5ec03524054c9d8bfd4f6237` | | Mainline | 7.0 | `a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5` | La corrección revierte la optimización AEAD in situ de 2017 en `algif_aead.c` de vuelta a la operación fuera de lugar, asegurando que las páginas de caché de páginas nunca se coloquen en un scatterlist escribible. ### Guía Específica por Distribución | Distribución | Acción | |---|---| | Ubuntu | `apt-get update && apt-get upgrade linux-image-generic`; verifique el aviso USN | | RHEL / Rocky / Alma | `dnf update kernel`; verifique el aviso RHSB | | Amazon Linux 2023 | `dnf update kernel`; verifique el aviso ALAS | | SUSE / openSUSE | `zypper update kernel-default`; verifique el aviso SUSE SA | | Debian | Verifique el rastreador de seguridad; el parche retroportado puede llegar antes de la actualización del kernel | | Arch | `pacman -Syu` (rodante; recoja la corrección ascendente cuando llegue) | ### Verificación de Integridad Después de la Exposición Si sospecha que ocurrió una explotación en un host antes del parche:```bash # 1. Check if /etc/passwd UID fields have been tampered # (compare against a known-good backup or secondary host) awk -F: '$3 ~ /^0+$/ && $1 != "root" {print "SUSPICIOUS UID 0 ENTRY:", $0}' /etc/passwd # 2. Drop the page cache to flush any in-memory modifications # WARNING: This impacts performance temporarily sync && echo 3 | sudo tee /proc/sys/vm/drop_caches # 3. Verify setuid binaries against package manager rpm -Va --nomtime 2>/dev/null | grep -E '^.{0,8}5.*su$|^.{0,8}5.*sudo$' # RHEL/rpm debsums -s 2>/dev/null | grep -E 'su|sudo' # Debian/Ubuntu # 4. Re-examine recently logged su/sudo invocations for unexpected UID transitions journalctl -u sudo --since "48 hours ago" | grep "session opened for user root"

Indicador	Valor	Confianza
Familia de socket AF_ALG	`38` (primer argumento de `socket()`)	Medio — existen usos legítimos
Tipo de socket	`5` (SOCK_SEQPACKET)	Medio
Nivel de opción SOL_ALG	`279` (primer argumento de `setsockopt()`)	Medio
Cadena de algoritmo	`authencesn(hmac(sha256),cbc(aes))`	Alto — inusual fuera de IPsec ESN
Cadena de syscall	`socket(38)` → `setsockopt(279)` → `splice()`	Alto
Carga útil clave del PoC	`0800010000000010` (hex, en setsockopt)	Alto para el PoC conocido
Objetivo principal del PoC	Campo UID de `/etc/passwd`	Medio
Objetivos secundarios	`/usr/bin/su`, `/usr/bin/sudo`	Medio
Módulo del kernel	`algif_aead`	Dependiente del contexto

Más Populares

Detections-CVE-2026-31431

MOVIENDO A: https://github.com/insomnisec/public_cve_detections

PARA UNA MEJOR GESTIÓN A LARGO PLAZO DE LAS PUBLICACIONES DE DETECCIÓN

ESTE REPOSITORIO SERÁ ELIMINADO EN JUNIO DE 2026

POR FAVOR, USE EL OTRO REPOSITORIO EN EL FUTURO

CVE-2026-31431 "Copy Fail" — Paquete de Detección y Respuesta

Índice

Resumen de la vulnerabilidad

Cómo funciona el exploit```

Exit 0 = not vulnerable / mitigated

Exit 2 = VULNERABLE

Reglas de Auditd

Usando Azure OpenAI

Usando LLM local (Ollama)

============================================================

CVE-2026-31431 "Copy Fail" — Auditd Detection Rules

============================================================

These rules capture the MECHANISM of the exploit (socket +

splice syscalls) and correlated /etc/passwd access patterns.

IMPORTANT: These rules will NOT detect the page-cache write

itself — it is an in-memory operation with no filesystem

event. File path watches (-w) on setuid binaries or

/etc/passwd will not fire on the exploit write.

Correlate rule hits across audit.key values to build signal:

A hit on afalg_socket followed closely by a hit on

splice_syscall from the same process is a strong indicator.

============================================================

--- Core exploit primitive: AF_ALG socket creation ---

Monitors socket(2) syscall where a0 = 0x26 (38 decimal = AF_ALG)

This is the first step of the exploit chain.

--- splice() syscall monitoring ---

splice() is used to feed page-cache pages into the AEAD socket.

NOTE: splice() is commonly used for sendfile-like operations.

Correlate with cve_2026_31431_afalg_socket hits from the same PID.

--- /etc/passwd access monitoring ---

The PoC reads /etc/passwd to locate the UID field offset.

Read access (-p r) is retained here because the intent is

to correlate this read with the AF_ALG socket key above,

not to use the watch as a standalone alert.

--- setuid binary execution monitoring ---

Detects execution of su after page-cache modification.

The page-cache write makes su execute as root; this catches

the exploitation outcome, not the write itself.

--- algif_aead module state monitoring ---

The exploit requires algif_aead to be loaded.

Monitoring modprobe helps detect attempts to load the module

on systems where it was previously disabled as a mitigation,

and confirms whether the mitigation is being bypassed.

Reglas de Wazuh

IoCs Clave de Referencia