🔴 CVE-2026-31431 — Copy Fail

Linux Kernel Local Privilege Escalation (LPE) — Defensive Research Repository

📖 Présentation

Copy Fail (CVE-2026-31431) est une vulnérabilité de type Local Privilege Escalation (LPE) affectant le noyau Linux via une corruption contrôlée du page cache à travers les mécanismes AF_ALG, splice() et authencesn.

Ce dépôt a pour objectif de :

• documenter le mécanisme interne de la vulnérabilité,
• expliquer la chaîne logique d’exploitation,
• présenter les impacts défensifs,
• proposer des stratégies de détection,
• fournir des mesures de mitigation,
• sensibiliser à la sécurité du noyau Linux.

⚠️ Ce projet est strictement éducatif, défensif et destiné à la recherche sécurité.

📑 Sommaire

• Vue d’ensemble
• Mécanisme de la faille
• Surface d’attaque
• Démonstration en laboratoire
• Détection & IOC
• Mitigations
• Timeline
• Références
• Notice légale

🧪 Cadre de Recherche

Toutes les démonstrations présentées dans ce dépôt ont été réalisées dans des environnements de laboratoire isolés et contrôlés.

Aucune utilisation sur des systèmes tiers sans autorisation explicite n’est autorisée.

🔍 Vue d’ensemble

🧠 Pourquoi cette faille est importante

Comparable à :

• Dirty Cow (CVE-2016-5195)
• Dirty Pipe (CVE-2022-0847)
• Modern Page Cache Corruption Primitives

🧬 Vue Simplifiée de la Chaîne

User Space
    ↓
AF_ALG Socket
    ↓
splice()
    ↓
Page Cache Reference
    ↓
authencesn In-Place Write
    ↓
Controlled 4-Byte Overwrite
    ↓
execve()
    ↓
Privilege Escalation

⚙️ Mécanisme de la faille

Chronologie technique

2011 → authencesn ajouté au kernel
2015 → AF_ALG reçoit le support AEAD + splice()
2017 → Optimisation in-place dans algif_aead.c
2026 → Découverte et correctif officiel

🔩 Composants impliqués

AF_ALG

Interface socket exposant les primitives cryptographiques du noyau Linux au userspace.

splice()

Mécanisme permettant le transfert de pages sans copie entre file descriptors.

authencesn

Template AEAD IPsec ESN utilisant le buffer destination comme espace de travail temporaire.

🧨 Root Cause

L’optimisation introduite dans algif_aead.c a permis le chaînage direct des pages du page cache dans la scatterlist destination via sg_chain().

Input SGL:   AAD || Ciphertext || Tag (page cache)
                                     ↑
Output SGL:  AAD || Ciphertext ------+

authencesn écrit alors directement dans les pages du page cache du fichier cible.

🎯 Surface d’attaque

🖥️ Systèmes affectés

🧪 Démonstration (Lab uniquement)

⚠️ Réservé à des environnements de test isolés.

Vérifications préalables

uname -r
lsmod | grep algif_aead
python3 --version

Clonage du PoC

git clone https://github.com/theori-io/copy-fail-CVE-2026-31431.git
cd copy-fail-CVE-2026-31431

Exécution

python3 copy_fail_exp.py

🛡️ Détection & IOC

Auditd

auditctl -a always,exit -F arch=b64 -S socket -F a0=38 -k af_alg_socket
auditctl -a always,exit -F arch=b64 -S splice -k splice_monitor

Détection comportementale

ps aux | awk '$1 == "root"'
ss -tlnp

Surveillance défensive

• eBPF monitoring
• Falco
• Wazuh
• EDR memory inspection
• Page-cache anomaly detection

🛡️ Mitigation

Désactivation algif_aead

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead

Restriction seccomp

{
  "defaultAction": "SCMP_ACT_ALLOW",
  "syscalls": [
    {
      "names": ["socket"],
      "action": "SCMP_ACT_ERRNO",
      "args": [
        { "index": 0, "value": 38, "op": "SCMP_CMP_EQ" }
      ]
    }
  ]
}

✅ Correctif officiel

Le correctif a664bf3d603d supprime l’opération in-place vulnérable dans algif_aead.c.

sudo apt update && sudo apt upgrade
sudo reboot

📅 Timeline

🔗 Références

📈 SEO / Keywords

linux kernel security, CVE-2026-31431, copy fail, page cache, AF_ALG, authencesn, linux LPE, kernel exploit, linux hardening, security research, dirty pipe, kernel mitigation

⚖️ Notice légale

Ce dépôt est destiné exclusivement :

• à la recherche défensive,
• aux laboratoires autorisés,
• à l’éducation cybersécurité,
• à l’analyse sécurité Linux.

Toute utilisation non autorisée est illégale.

👤 Crédits

Recherche originale

• theori.io
• communauté Linux security research

Projet francophone

• @Maxime288

⭐ Support Linux Kernel Security Research

🛡️ Awareness • Mitigation • Defensive Research
🔁 Partagez le projet avec la communauté cybersécurité
⭐ Soutenez la recherche sécurité Linux

---