🧬 ROSN-LR5 – Kit de PoC LPE et d'atténuation pour le noyau (CVE-2026-31431)

Outil offensif et défensif pour la vulnérabilité CVE-2026-31431 sur les systèmes Linux.
Il combine une preuve de concept d'élévation locale de privilèges (LPE) avec des utilitaires pour vérifier et atténuer temporairement le vecteur d'attaque basé sur AF_ALG.

⚖️ USAGE ÉTHIQUE EXCLUSIF : Ce logiciel est distribué uniquement à des fins éducatives et d'audit de sécurité. Il ne doit être exécuté que sur vos propres systèmes ou sur ceux pour lesquels vous disposez d'une autorisation explicite. L'auteur décline toute responsabilité en cas de mauvaise utilisation.

✳️ Fonctionnalités

🔥 Exploitation LPE

• PoC complète qui élève les privilèges à root via la manipulation du socket AF_ALG.
• Injection de payload avec os.splice() et décompression zlib sur /usr/bin/su.
• Shell root persistant une fois l'exploit terminé.

🛡️ Atténuation

• Vérification de l'état du système :
  • Disponibilité et chargement du module algif_aead.
  • Présence du fichier de blocage dans /etc/modprobe.d/disable-algif.conf.
  • Informations sur l'OS et le noyau.
• Application d'une atténuation temporaire (nécessite root) :
  • Crée le fichier de blocage install algif_aead /bin/false.
  • Tente de décharger le module avec rmmod.
  • Mesure de contention en attendant le correctif officiel du noyau.
• Suppression de l'atténuation (nécessite root) :
  • Supprime le fichier de blocage pour restaurer le chargement normal du module.

🔍 Audit des privilèges

• Affiche l'UID, l'utilisateur, les groupes et l'appartenance à sudo ou wheel.

🧪 Prérequis

• Système d'exploitation : Linux (toute distribution avec un noyau potentiellement vulnérable).
• Python : 3.8 ou supérieur.
• Permissions :
  • Exploitation : nécessite uniquement un accès en lecture à /usr/bin/su.
  • Atténuation (appliquer/retirer) : nécessite root (sudo).

📦 Installation

Clonez le dépôt et entrez dans le répertoire :

git clone https://github.com/ROSNLR5/MitigationToolkit-ROSN-LR5-Full.git
cd MitigationToolkit-ROSN-LR5-Full
chmod +x rosnlr5_full.py

🚀 Utilisation

Exécutez le script avec Python 3 :

python3 rosnlr5_full.py

Le menu principal propose quatre options :

1. Auditer les privilèges de l'utilisateur – informations de base sur la session en cours.
2. Exécuter l'exploit ROOT (CVE-2026-31431) – lance la PoC d'élévation de privilèges.
3. Outils d'atténuation – sous-menu avec vérification, application et retrait de l'atténuation.
4. À propos – crédits et description de l'outil.

🔧 Sous-menu d'atténuation

Dans l'option 3, vous trouverez :

• Vérifier l'état du système – indique si le module algif_aead est disponible/chargé et si le fichier de blocage existe.
• Appliquer l'atténuation temporaire – crée /etc/modprobe.d/disable-algif.conf et décharge le module. Nécessite sudo.
• Retirer l'atténuation temporaire – supprime le fichier de blocage. Nécessite sudo.
• Revenir au menu principal.

⚠️ Avis important concernant l'atténuation

L'atténuation temporaire ne remplace pas un correctif du noyau. Elle bloque uniquement le chargement du module vulnérable en attendant la mise à jour du système.
Après avoir appliqué l'atténuation, il est recommandé de mettre à jour le noyau avec les correctifs officiels de votre distribution.

👤 Crédits

• Recherche originale de la vulnérabilité et PoC de base : Copyfile
• Développement du script et extension avec les outils d'atténuation : ROSNLR5

📜 Licence

Ce projet est distribué sans licence explicite. Le code est fourni « tel quel », sans garantie. L'utilisation relève de votre propre responsabilité et vous devez respecter les lois locales.

ROSN LR5 – comprendre et contenir CVE 2026 31431