0xshe/cve-2026-31431# Exploit d'élévation de privilèges du noyau pour CVE-2026-31431 Exploit d'élévation de privilèges du noyau pour CVE-2026-31431, abusant de l'interface AF_ALG pour écraser /bin/su et lancer un shell root. Inclut une implémentation en C et un guide de dépannage.
Auteur : 0xShe
Langue / 语言
Guide de l'outil d'élévation de privilèges du noyau CVE-2026-31431
0x01 Démarrage rapide
Certains environnements cibles n'ont pas Python installé, c'est pourquoi cette logique d'élévation de privilèges a été réécrite en C.
Exécutez la commande suivante sur votre machine Linux ou WSL (l'utilisation de -static est recommandée pour éviter les problèmes de version GLIBC) :
gcc -static exploit.c -o exploit
2. Déploiement et exécution
Téléversez le binaire généré sur la machine cible :
chmod +x exploit
./exploit
Si l'exploit réussit, le programme exécutera automatiquement su et lancera directement un shell root sans demander de mot de passe.
0x02 Logique d'élévation de privilèges : comment cela fonctionne-t-il ?
Cet exploit abuse d'une faille logique dans l'interface AF_ALG du noyau Linux (API cryptographique du noyau).
Créer un socket cryptographique Le programme crée un socket AEAD (Authenticated Encryption with Associated Data) en utilisant socket(AF_ALG, ...).
Injection mémoire (Splice) En exploitant l'appel système splice de Linux, les données d'un descripteur de fichier (en l'occurrence /bin/su) peuvent être directement redirigées vers le tampon cryptographique du noyau.
Écrasement de la charge utile En utilisant des décalages mémoire spécifiques, l'exploit remplace une partie de la logique d'authentification de /bin/su par une charge utile d'élévation de privilèges (un programme ELF minimal qui lance /bin/sh).
Déclenchement de l'élévation de privilèges Une fois que le noyau a terminé la série d'opérations cryptographiques, le processus su en mémoire a déjà été altéré. Lorsque system("su") est finalement exécuté, le système lance en réalité la charge utile modifiée du shell root à la place.
0x03 Guide de dépannage : pourquoi demande-t-il toujours un mot de passe ?
Lors du débogage, si le programme affiche Exploit finished mais que l'exécution de su demande toujours un mot de passe, le problème est généralement causé par l'un des détails suivants.
C'est le point de défaillance le plus courant. L'appel sendmsg doit inclure l'indicateur MSG_MORE.
Raison : Cet indicateur signale au noyau que d'autres données arrivent et empêche le tampon cryptographique d'être finalisé trop tôt.
Conséquence : Sans cet indicateur, le noyau ferme immédiatement le contexte cryptographique actuel. Par conséquent, l'injection splice suivante ne peut pas entrer dans le bon tampon du noyau, rendant l'écrasement impossible.
Le noyau est extrêmement strict concernant l'alignement et les contrôles de longueur pour les données associées AEAD.
Pendant la boucle qui modifie /bin/su, chaque opération splice doit commencer la lecture au décalage 0.
Certains systèmes peuvent déjà avoir reçu des correctifs de sécurité silencieux. Cela a été confirmé lors de tests sur plusieurs machines — certaines cibles avaient déjà reçu des correctifs non officiels ou rétroportés.
0x04 Remarques
Version du noyau : Cette vulnérabilité affecte principalement les premiers noyaux Linux 5.x (comme la version initiale d'Ubuntu 20.04). Si le noyau a déjà été corrigé, cette méthode ne fonctionnera plus.
Différences de chemins : Différentes distributions Linux peuvent stocker su à différents emplacements (/bin/su ou /usr/bin/su). Le code tente de détecter automatiquement le bon chemin, mais si aucun des deux n'existe, vérifiez manuellement avec which su et modifiez le code en conséquence.
Avertissement : Cet article est destiné strictement à la recherche technique et à des fins éducatives. Ne l'utilisez pas pour des activités illégales. Les utilisateurs sont seuls responsables de toute conséquence juridique résultant d'une mauvaise utilisation de l'outil.