CVE-2026-31431-Copy-Fail-add-arm64

Aperçu de la vulnérabilité

Principe de la vulnérabilité

En 2017, une optimisation de chiffrement en place (in-place optimization) a été introduite dans le module cryptographique algif_aead du noyau. Cette optimisation a conduit à ce que des pages du cache de pages (page cache) soient incorrectement placées dans un scatterlist de destination inscriptible. En combinant un socket AF_ALG avec l'appel système splice(), un attaquant peut écrire des données dans le cache de pages de fichiers arbitraires, y compris des fichiers en lecture seule appartenant à root.

Chaîne d'attaque : socket AF_ALG → splice() → primitive d'écriture dans le cache de pages → altération du cache de pages d'un binaire setuid → exécution de ce fichier pour obtenir les privilèges root

Caractéristiques de l'attaque :

• Aucune condition de course (ce n'est pas une race condition, mais un défaut logique direct)
• Aucune fonctionnalité de débogage du noyau requise
• Aucune adaptation d'offset spécifique à une architecture requise
• Le script d'exploitation générique ne fait qu'environ 732 octets et fonctionne sur toutes les distributions majeures

Périmètre concerné

Distributions vérifiées comme affectées

Les distributions Debian, Arch, Fedora, Rocky, Alma, Oracle, etc., sont également affectées pour les mêmes plages de versions de noyau.

Plages de versions de noyau affectées

Toutes les versions de noyau inférieures aux versions corrigées suivantes sont concernées :

Méthodes de détection

1. Vérifier la version du noyau

uname -r

Comparez la sortie avec les versions corrigées du tableau ci-dessus ; si la version est inférieure à la version corrigée, le système est affecté.

2. Vérifier les connexions AF_ALG

# Vérifier s'il existe des connexions AF_ALG actives
lsof | grep AF_ALG

# Vérifier l'état des sockets AF_ALG
ss -xa | grep alg

3. Vérifier si le module algif_aead est chargé

lsmod | grep algif_aead

Si une sortie est produite, le module est chargé et le système présente un risque d'exploitation.

4. Validation de la vulnérabilité (uniquement dans un environnement de test autorisé)

# Cloner le dépôt du PoC
git clone https://github.com/cx330zer0/CVE-2026-31431-Copy-Fail-add-arm64.git
cd CVE-2026-31431-Copy-Fail-add-arm64

# Exécuter le PoC (nécessite un utilisateur non privilégié)
python3 copy-fail-dual-arch.py

Si le PoC obtient un shell root avec succès, le système est vulnérable à cette faille.