भेद्यता अवलोकन

आइटम	सामग्री
CVE आईडी	CVE-2026-31431
भेद्यता नाम	Copy Fail
भेद्यता प्रकार	Linux कर्नेल स्थानीय विशेषाधिकार वृद्धि (LPE)
CVSS 3.1 स्कोर	7.8 (HIGH)
CWE	CWE-669: Incorrect Resource Transfer Between Spheres
प्रभावित दायरा	2017 से अप्रैल 2026 के बीच निर्मित सभी Linux कर्नेल
CISA KEV	सूचीबद्ध, निर्धारित सुधार तिथि 2026-05-15
सार्वजनिक तिथि	2026-04-29

भेद्यता सिद्धांत

2017 में कर्नेल ने algif_aead क्रिप्टो मॉड्यूल में एक इन-प्लेस एन्क्रिप्शन ऑप्टिमाइज़ेशन (in-place optimization) पेश किया। इस ऑप्टिमाइज़ेशन के कारण page-cache पेज गलती से लिखने योग्य target scatterlist में डाल दिए गए। हमलावर AF_ALG socket को splice() सिस्टम कॉल के साथ जोड़कर किसी भी फ़ाइल (root के स्वामित्व वाली केवल-पठनीय फ़ाइलों सहित) के page cache में डेटा लिख सकता है।

हमले की श्रृंखला: AF_ALG socket → splice() → page-cache लेखन प्रिमिटिव → setuid बाइनरी के page cache में छेड़छाड़ → उस फ़ाइल को निष्पादित करके root विशेषाधिकार प्राप्त करना

हमले की विशेषताएँ:

कोई रेस कंडीशन नहीं (रेस कंडीशन नहीं, यह एक सीधा तार्किक दोष है)
किसी कर्नेल डिबग सुविधा की आवश्यकता नहीं
किसी विशिष्ट आर्किटेक्चर ऑफ़सेट अनुकूलन की आवश्यकता नहीं
सामान्य शोषण स्क्रिप्ट केवल ~732 बाइट्स है, सभी प्रमुख डिस्ट्रोस पर प्रभावी

प्रभावित दायरा

सत्यापित प्रभावित डिस्ट्रोस

डिस्ट्रो	प्रभावित कर्नेल संस्करण
Ubuntu 24.04 LTS	6.17.0-1007-aws
Amazon Linux 2023	6.18.8-9.213.amzn2023
RHEL 10.1	6.12.0-124.45.1.el10_1
SUSE 16	6.12.0-160000.9-default

Debian, Arch, Fedora, Rocky, Alma, Oracle आदि डिस्ट्रोस में समान कर्नेल रेंज भी प्रभावित है।

प्रभावित कर्नेल संस्करण रेंज

निम्नलिखित फिक्स संस्करणों से कम कर्नेल संस्करण वाले सभी प्रभावित हैं:

जाँच के तरीके

1. कर्नेल संस्करण जाँचें

uname -r

आउटपुट की तुलना उपरोक्त तालिका के फिक्स संस्करणों से करें, फिक्स संस्करण से कम होने पर प्रभावित है।

2. AF_ALG कनेक्शन जाँचें

# देखें कि वर्तमान में कोई AF_ALG कनेक्शन है या नहीं
lsof | grep AF_ALG

# AF_ALG socket स्थिति देखें
ss -xa | grep alg

3. जाँचें कि algif_aead मॉड्यूल लोड है या नहीं

lsmod | grep algif_aead

यदि आउटपुट है तो मॉड्यूल लोड हो चुका है, शोषण का जोखिम मौजूद है।

4. भेद्यता सत्यापन (केवल अधिकृत परीक्षण वातावरण में)

# PoC रिपॉजिटरी क्लोन करें
git clone https://github.com/cx330zer0/CVE-2026-31431-Copy-Fail-add-arm64.git
cd CVE-2026-31431-Copy-Fail-add-arm64

# PoC चलाएँ (गैर-विशेषाधिकार प्राप्त उपयोगकर्ता के रूप में आवश्यक)
python3 copy-fail-dual-arch.py

यदि PoC सफलतापूर्वक root shell प्राप्त कर लेता है, तो सिस्टम इस भेद्यता से प्रभावित है।

5.10.x	≥ 5.10.254
5.15.x	≥ 5.15.204
6.1.x	≥ 6.1.170
6.6.x	≥ 6.6.137
6.12.x	≥ 6.12.85
6.18.x	≥ 6.18.22
6.19.x	≥ 6.19.12
7.0.x	≥ 7.0-rc7

CVE-2026-31431-Copy-Fail-add-arm64

सबसे लोकप्रिय