CVE-2026-31431 "Copy Fail" — Laboratorio de LPE en el Kernel de Linux

Descripción general

Este repositorio documenta una investigación completa de laboratorio sobre CVE-2026-31431 (Copy Fail), una vulnerabilidad de escalada de privilegios local (LPE) de alta severidad en el módulo criptográfico algif_aead del kernel de Linux, divulgada el 29 de abril de 2026.

Puntuación CVSS: 7.8 (Alta)
Kernel de prueba: 6.18.12+kali-amd64
Fecha del laboratorio: 11 de mayo de 2026

Contenido

Hallazgos clave

• El kernel 6.18.12+kali-amd64 confirmado como VULNERABLE
• algif_aead se carga automáticamente bajo demanda — no está presente en reposo
• La sobrescritura de la caché de páginas de /etc/passwd escaló uid=1000 → uid=0
• su kali falló (PAM revalida mediante loginuid)
• sudo -u root /bin/bash tuvo éxito — se obtuvo una shell root
• Cero rastro en disco — se omitió el monitoreo de integridad de archivos
• La directiva blacklist es insuficiente — se requiere install /bin/false
• Mitigación confirmada como efectiva mediante el detector seguro

Mitigación

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true
modprobe -n -v algif_aead   # Verificar: debería mostrar "install /bin/false"

Versiones de kernel parcheadas: 6.18.22+ / 6.19.12+ / 7.0+

Aviso legal

Este repositorio es únicamente para fines educativos y de investigación de seguridad defensiva. Todas las pruebas se realizaron en una máquina virtual aislada y propiedad del investigador. No utilice ninguna de estas herramientas contra sistemas que no sean de su propiedad o para los que no tenga autorización escrita explícita para realizar pruebas.