CVE-2026-31431 « Copy Fail » — Laboratoire LPE du noyau Linux

Aperçu

Ce dépôt documente une investigation complète en laboratoire de la CVE-2026-31431 (Copy Fail), une vulnérabilité d'élévation de privilèges locale (LPE) de haute sévérité dans le module cryptographique algif_aead du noyau Linux, divulguée le 29 avril 2026.

Score CVSS : 7,8 (Élevé)
Noyau testé : 6.18.12+kali-amd64
Date du laboratoire : 11 mai 2026

Contenu

Fichier	Description
`CVE-2026-31431_Copy_Fail_Lab_Documentation_v2.md`	Rapport de laboratoire complet avec toutes les étapes et conclusions
`screenshots/`	Captures d'écran du terminal issues des tests en laboratoire
`test_cve_2026_31431.py`	Détecteur de vulnérabilité sûr et non destructif
`exploit_cve_2026_31431.py`	Exploit PoC (pour référence de recherche uniquement)

Conclusions clés

Noyau 6.18.12+kali-amd64 confirmé VULNÉRABLE
algif_aead se charge automatiquement à la demande — absent au repos
L'écrasement du cache de pages de /etc/passwd a élevé uid=1000 → uid=0
su kali a échoué (PAM revalide via loginuid)
sudo -u root /bin/bash a réussi — shell root obtenu
Aucune trace sur disque — le contrôle d'intégrité des fichiers a été contourné
La directive blacklist est insuffisante — install /bin/false est requis
L'atténuation confirmée efficace via le détecteur sûr

Atténuation

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true
modprobe -n -v algif_aead   # Vérifier : doit afficher "install /bin/false"

Versions du noyau corrigées : 6.18.22+ / 6.19.12+ / 7.0+

Avertissement

Ce dépôt est destiné uniquement à des fins de recherche en sécurité éducative et défensive. Tous les tests ont été effectués sur une machine virtuelle isolée appartenant au chercheur. N'utilisez aucun de ces outils contre des systèmes dont vous n'êtes pas propriétaire ou pour lesquels vous ne disposez pas d'une autorisation écrite explicite de test.

CVE-2026-31431-CopyFail-Lab

Populaires