CVE-2026-31431 — Copy Fail

Élévation de privilèges locale dans le noyau Linux via AF_ALG + écrasement du cache de pages

Uniquement pour la recherche en sécurité autorisée, les tests d'intrusion et les fins pédagogiques. Ne pas utiliser contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite explicite de test.

Analyse technique

Table des matières

• Description
• Détails de la vulnérabilité
• Structure du dépôt
• Démarrage rapide
• Détection
• Prérequis
• Atténuation
• Environnement de test (optionnel)
• Références
• Licence

Description

CVE-2026-31431 est une vulnérabilité d'élévation de privilèges locale (LPE) dans le noyau Linux. Un utilisateur local non privilégié peut obtenir un accès root en combinant l'interface de socket AF_ALG avec splice() pour effectuer une écriture authentifiée directement dans une page du cache de pages appartenant à un binaire setuid.

L'exploit écrase le binaire su dans le cache de pages sans modifier l'inode sur disque, contournant les mécanismes d'intégrité qui reposent uniquement sur les métadonnées de fichiers ou les sommes de contrôle au niveau des blocs.

Détails de la vulnérabilité

Environnements affectés

Structure du dépôt

.
├── exploit.py    # PoC — écrasement du cache de pages et élévation de privilèges
├── detect.bt     # Script BPFtrace pour la détection en temps réel
├── run-vm.sh     # Automatisation de l'environnement de test QEMU (optionnel)
├── PAYLOAD.md    # Analyse de l'encodage de la charge utile (hex → zlib → ELF → shellcode)
└── LICENSE

Démarrage rapide

Exécutez exploit.py en tant qu'utilisateur local non privilégié sur tout système vulnérable — aucun sudo requis :

python3 exploit.py

Le script effectue les étapes suivantes :

1. Vérifie la prise en charge de AF_ALG (algif_aead) par le noyau et localise le binaire su.
2. Sélectionne et décompresse la charge utile adaptée à l'architecture.
3. Ouvre le binaire su comme descripteur de fichier brut et écrase ses pages du cache de pages via AF_ALG + sendfile.
4. Teste l'élévation de privilèges. En cas de succès, ouvre un shell root.

Architectures prises en charge :

Détection

Surveillez les tentatives d'exploitation en temps réel avec detect.bt. Nécessite root :

sudo bpftrace detect.bt
# ou
doas bpftrace detect.bt

Le script suit trois indicateurs par PID à l'aide d'un masque de bits dans @suspect[pid] :

Une alerte se déclenche lorsque les trois bits sont définis (@suspect[pid] == 0x7) sur le même PID.

Prérequis

exploit.py

• Python 3.6+
• Noyau Linux avec le module AF_ALG/algif_aead chargé
• Compte utilisateur local non privilégié (root n'est pas requis)

detect.bt

• bpftrace ≥ 0.12
• Privilèges root (requis pour le traçage BPF)

# Ubuntu/Debian
sudo apt install bpftrace

# RHEL/CentOS/Fedora
sudo dnf install bpftrace

# Amazon Linux
sudo yum install bpftrace

# SUSE
sudo zypper install bpftrace

# Alpine
sudo apk add bpftrace

Atténuation

1. Correctif (recommandé)

Mettez à jour le paquet du noyau de votre distribution vers une version incluant le commit principal a664bf3d603d, qui annule l'optimisation sur place de algif_aead de 2017 afin que les pages du cache de pages ne puissent plus se retrouver dans la liste de diffusion de destination en écriture. La plupart des grandes distributions fournissent désormais ce correctif.

2. Désactiver algif_aead (en attendant un correctif)

blacklist peut être contourné avec un modprobe algif_aead explicite. La directive install .../bin/false remplace entièrement la commande d'installation, faisant échouer chaque tentative de chargement :

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

Ce que cela casse — presque rien

Les sous-systèmes de la ligne « Non » utilisent directement l'API cryptographique du noyau — ils ne passent jamais par AF_ALG. Les performances retombent sur les bibliothèques cryptographiques utilisateur normales, ce que presque tout le reste utilise déjà.

Pour vérifier si quoi que ce soit sur votre système utilise activement AF_ALG avant de le désactiver :

lsof | grep AF_ALG
ss -xa | grep alg

3. Bloquer via seccomp (conteneurs, sandbox, CI)

Refusez la création de socket(AF_ALG, ...) pour les charges de travail non fiables, quel que soit l'état du correctif. Ajoutez AF_ALG (famille 38) à votre liste de refus seccomp, ou utilisez une politique AppArmor/SELinux qui restreint les appels socket pour les processus non privilégiés.

4. Surveiller avec detect.bt

Déployez le script de détection inclus sur tout hôte qui ne peut pas être corrigé ou verrouillé immédiatement. Il alertera sur tout processus qui exécute la primitive d'exploitation complète en trois étapes.

Environnement de test (optionnel)

run-vm.sh automatise la création d'une machine virtuelle QEMU Ubuntu 24.04 pour tester dans un environnement contrôlé. exploit.py et detect.bt s'exécutent directement sur tout hôte vulnérable — QEMU n'est pas requis.

Prérequis de l'hôte

Installer QEMU

# Ubuntu/Debian
sudo apt install qemu-system-x86 cloud-image-utils wget

# Fedora/RHEL
sudo dnf install qemu-system-x86 wget

# Arch
sudo pacman -Sy qemu

# Alpine
sudo apk add qemu-system-x86 qemu-ui-gtk wget

Exécuter

sh run-vm.sh

Menu interactif

1. Démarrer/Créer la VM
2. Se connecter via SSH
3. Téléverser des fichiers vers la VM  (exploit.py, detect.bt)
4. Exécuter l'exploit dans la VM
5. Exécuter detect.bt dans la VM
6. Vérifier l'état de la VM
7. Arrêter la VM
8. Nettoyer les fichiers de la VM
0. Quitter

Identifiants de la VM

Références

• Analyse technique — xint.io
• Analyse de l'encodage de la charge utile — décomposition hex → zlib → ELF → shellcode
• crypto/af_alg.c — source du noyau
• mm/splice.c — source du noyau

Licence

Ce projet est sous licence GNU General Public License v3.0 ou ultérieure. Voir LICENSE pour le texte complet.

Avertissement : Ce dépôt est fourni uniquement pour la recherche en sécurité autorisée, les tests d'intrusion et les fins pédagogiques. Les auteurs déclinent toute responsabilité en cas d'utilisation abusive ou de dommages causés par ce logiciel.