The PoC `/etc/passwd` को लक्षित करता है: यह चल रहे उपयोगकर्ता के UID फ़ील्ड का ऑफ़सेट ढूंढता है और उसे `0000` से ओवरराइट करता है, फिर रूट शेल प्राप्त करने के लिए `su` को कॉल करता है।

---

## पता लगाने की सीमाएँ

> **नीचे कोई नियम तैनात करने से पहले यह अनुभाग पढ़ें।**

इस एक्सप्लॉइट की दो विशेषताएँ हैं जो डिटेक्शन कवरेज को काफी सीमित करती हैं:

**1. राइट पेज कैश में जाता है, फ़ाइल सिस्टम में नहीं।**
कोई भी डिटेक्शन टूल जो फ़ाइल सिस्टम इवेंट — `inotify`, `fanotify`, AIDE, Tripwire, auditd पथ वॉच — को मॉनिटर करता है, **संशोधन को नहीं देखेगा**। डिस्क पर फ़ाइल कभी नहीं लिखी जाती। इसका मतलब है कि `/usr/bin/su` या `/etc/passwd` के लिए auditd पथ वॉच में `-p w` (राइट) फ़्लैग वास्तविक एक्सप्लॉइट राइट को नहीं पकड़ पाएंगे।

**2. तंत्र वैध कर्नेल इंटरफ़ेस का उपयोग करता है।**
`AF_ALG` सॉकेट, `splice()`, और `authencesn` सभी के वैध उपयोग हैं (IPsec, कर्नेल सेल्फ-टेस्ट, sendfile-शैली I/O)। डिटेक्शन को किसी एक को अलग-थलग करने के बजाय इन प्राइमिटिव के *संयोजन* पर ध्यान केंद्रित करना चाहिए, और IPsec चलाने या कर्नेल क्रिप्टो परीक्षण करने वाले सिस्टम पर झूठी सकारात्मकताएँ अपेक्षित हैं।

**डिटेक्शन क्या पकड़ सकता है:**
- `socket(AF_ALG, SOCK_SEQPACKET, 0)` सिस्कॉल
- उपरोक्त के साथ सहसंबंधित `splice()` सिस्कॉल, विशेष रूप से setuid बाइनरी एक्सेस के पास
- PoC स्क्रिप्ट स्वयं (YARA के माध्यम से)
- प्रक्रिया मेमोरी या स्क्रिप्ट फ़ाइलों में विशिष्ट `authencesn(hmac(sha256),cbc(aes))` एल्गोरिदम स्ट्रिंग

**डिटेक्शन क्या नहीं पकड़ सकता:**
- वास्तविक पेज-कैश राइट (इन-मेमोरी, कोई फ़ाइल सिस्टम इवेंट नहीं)
- संशोधित पेज-कैश एंट्री का पोस्ट-एक्सप्लॉइटेशन उपयोग (सामान्य `su` या `passwd` कॉल जैसा दिखता है)
- ऐसे वेरिएंट जो Python या विशिष्ट एल्गोरिदम स्ट्रिंग से बचते हैं

---

## तत्काल शमन

डिटेक्शन नियम तैनात करने से पहले, किसी भी अप्रतिबंधित होस्ट पर इस शमन को लागू करें:```bash
# Disable algif_aead kernel module — blocks the exploit primitive entirely
echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead 2>/dev/null || true

> **नोट:** `rmmod` कमांड विफल हो जाएगा यदि मॉड्यूल वर्तमान में लोड नहीं है; यह स्वीकार्य है। `modprobe.d` कॉन्फ़िगरेशन भविष्य में लोड होने से रोकता है। इस शमन का मानक TLS, SSH, या फ़ाइलसिस्टम एन्क्रिप्शन कार्यभार पर कोई प्रभाव नहीं पड़ता है — यह केवल समर्पित VPN गेटवे के बाहर असामान्य, `authencesn` टेम्पलेट का उपयोग करके विस्तारित अनुक्रम संख्याओं (ESN) वाले IPsec को प्रभावित करता है।

---

## YARA नियम

`cve_2026_31431.yar` के रूप में सहेजें

> **स्कैनिंग दायरा:** यह नियम डिस्क पर या मेमोरी डंप से निकाले गए Python स्क्रिप्ट फ़ाइलों को स्कैन करने के लिए डिज़ाइन किया गया है। यह ज्ञात PoC और करीबी वेरिएंट से मेल खाएगा। यह syscall स्तर पर शोषण गतिविधि का पता नहीं लगाएगा — इसके लिए auditd/Wazuh नियमों का उपयोग करें।```yara
rule CVE_2026_31431_CopyFail_PoC_HighConfidence {
    meta:
        description     = "High-confidence match: CVE-2026-31431 Copy Fail PoC or close variant"
        author          = "Detection Engineering"
        reference       = "https://xint.io/blog/copy-fail-linux-distributions"
        cve             = "CVE-2026-31431"
        date            = "2026-04-30"
        severity        = "High"
        cvss            = "7.8"

    strings:
        // Algorithm string unique to this exploit path — very high fidelity
        $alg_full      = "authencesn(hmac(sha256),cbc(aes))" ascii

        // Specific socket call signature from PoC: AF_ALG=38, SOCK_SEQPACKET=5
        $socket_call   = "socket(38,5,0)" ascii

        // SOL_ALG socket option (decimal 279)
        $solalg        = "setsockopt(279" ascii

        // Hex key/iv payload written via setsockopt in PoC
        $key_payload   = "0800010000000010" ascii

        // splice() usage in context of AEAD operations
        $splice        = "splice(" ascii

        // Target indicators from PoC (page-cache corruption targets)
        $target_passwd = "/etc/passwd" ascii
        $target_su     = "/usr/bin/su" ascii

        // AF_ALG aead bind strings
        $aead_bind     = "\"aead\"" ascii

    condition:
        // High-confidence: unique algorithm string alone is sufficient
        $alg_full
        or
        // Medium-confidence: socket primitive + option number
        ($socket_call and $solalg)
        or
        // Medium-confidence: splice into AEAD socket targeting a setuid path
        ($aead_bind and $splice and ($target_passwd or $target_su))
        or
        // PoC hex payload present alongside splice
        ($key_payload and $splice)
}

rule CVE_2026_31431_CopyFail_Mechanism {
    meta:
        description     = "Behavioral: AF_ALG AEAD + splice combination suggestive of CVE-2026-31431 technique"
        author          = "Detection Engineering"
        reference       = "https://xint.io/blog/copy-fail-linux-distributions"
        cve             = "CVE-2026-31431"
        date            = "2026-04-30"
        severity        = "Medium"
        note            = "Higher false positive rate than HighConfidence rule — review matches in context"

    strings:
        $authencesn    = "authencesn" ascii nocase
        $af_alg_num    = "socket(38" ascii
        $sol_alg_num   = "279" ascii
        $splice        = "splice(" ascii

    condition:
        ($authencesn and $splice)
        or
        ($af_alg_num and $sol_alg_num and $splice)
}

.```bash
## ============================================================
## CVE-2026-31431 "Copy Fail" — Auditd Detection Rules
## ============================================================
## These rules capture the MECHANISM of the exploit (socket +
## splice syscalls) and correlated /etc/passwd access patterns.
##
## IMPORTANT: These rules will NOT detect the page-cache write
## itself — it is an in-memory operation with no filesystem
## event. File path watches (-w) on setuid binaries or
## /etc/passwd will not fire on the exploit write.
##
## Correlate rule hits across audit.key values to build signal:
## A hit on afalg_socket followed closely by a hit on
## splice_syscall from the same process is a strong indicator.
## ============================================================

## --- Core exploit primitive: AF_ALG socket creation ---
## Monitors socket(2) syscall where a0 = 0x26 (38 decimal = AF_ALG)
## This is the first step of the exploit chain.
-a always,exit -F arch=b64 -S socket -F a0=0x26 -k cve_2026_31431_afalg_socket
-a always,exit -F arch=b32 -S socket -F a0=0x26 -k cve_2026_31431_afalg_socket

## --- splice() syscall monitoring ---
## splice() is used to feed page-cache pages into the AEAD socket.
## NOTE: splice() is commonly used for sendfile-like operations.
## Correlate with cve_2026_31431_afalg_socket hits from the same PID.
-a always,exit -F arch=b64 -S splice -k cve_2026_31431_splice
-a always,exit -F arch=b32 -S splice -k cve_2026_31431_splice

## --- /etc/passwd access monitoring ---
## The PoC reads /etc/passwd to locate the UID field offset.
## Read access (-p r) is retained here because the intent is
## to correlate this read with the AF_ALG socket key above,
## not to use the watch as a standalone alert.
-w /etc/passwd -p rwa -k cve_2026_31431_passwd_access

## --- setuid binary execution monitoring ---
## Detects execution of su after page-cache modification.
## The page-cache write makes su execute as root; this catches
## the exploitation outcome, not the write itself.
-w /usr/bin/su   -p xa -k cve_2026_31431_su_exec
-w /usr/bin/sudo -p xa -k cve_2026_31431_sudo_exec

## --- algif_aead module state monitoring ---
## The exploit requires algif_aead to be loaded.
## Monitoring modprobe helps detect attempts to load the module
## on systems where it was previously disabled as a mitigation,
## and confirms whether the mitigation is being bypassed.
-a always,exit -F arch=b64 -S finit_module -S init_module -k cve_2026_31431_module_load
-w /etc/modprobe.d -p wa -k cve_2026_31431_modprobe_conf

---

## Wazuh नियम

स्थानीय नियम फ़ाइल के रूप में सहेजें (आमतौर पर `/var/ossec/etc/rules/local_rules.xml`).

> **पूर्वापेक्षाएँ:** ये नियम इस बात पर निर्भर करते हैं कि auditd ऊपर दिए गए नियमों के साथ कॉन्फ़िगर किया गया है और Wazuh auditd डिकोडर सक्रिय है। वे `audit.key` फ़ील्ड से मेल खाते हैं जो auditd द्वारा भरा जाता है, जो दोनों प्रणालियों को जोड़ने का सही और विश्वसनीय तरीका है। नियम किसी विशिष्ट `<if_sid>` के बजाय `<if_group>auditd</if_group>` का उपयोग करते हैं ताकि Wazuh संस्करणों में संगत बने रहें।```xml
<!-- ============================================================
     CVE-2026-31431 "Copy Fail" — Wazuh Correlation Rules
     Requires: auditd rules from cve-2026-31431.rules deployed
     ============================================================ -->

<!-- Level 10: AF_ALG socket creation detected -->
<rule id="112001" level="10">
    <if_group>auditd</if_group>
    <field name="audit.key">cve_2026_31431_afalg_socket</field>
    <description>CVE-2026-31431 Copy Fail: AF_ALG socket (family 38) created by unprivileged process</description>
    <group>cve,privilege_escalation,linux,kernel,crypto,</group>
</rule>

<!-- Level 10: splice() syscall detected -->
<rule id="112002" level="10">
    <if_group>auditd</if_group>
    <field name="audit.key">cve_2026_31431_splice</field>
    <description>CVE-2026-31431 Copy Fail: splice() syscall detected — monitor for correlation with AF_ALG socket rule</description>
    <group>cve,privilege_escalation,linux,kernel,</group>
</rule>

<!-- Level 14 CRITICAL: AF_ALG socket followed by splice() from the same source -->
<!-- This chaining is the core exploit mechanism                                 -->
<rule id="112003" level="14">
    <if_matched_sid>112001</if_matched_sid>
    <if_group>auditd</if_group>
    <field name="audit.key">cve_2026_31431_splice</field>
    <same_field>audit.pid</same_field>
    <description>CVE-2026-31431 Copy Fail CRITICAL: AF_ALG socket creation followed by splice() from same process — active exploitation likely</description>
    <group>cve,privilege_escalation,linux,kernel,crypto,high_confidence,</group>
</rule>

<!-- Level 12: /etc/passwd access correlated with AF_ALG activity -->
<rule id="112004" level="12">
    <if_matched_sid>112001</if_matched_sid>
    <if_group>auditd</if_group>
    <field name="audit.key">cve_2026_31431_passwd_access</field>
    <description>CVE-2026-31431 Copy Fail: /etc/passwd access following AF_ALG socket creation — consistent with PoC target selection</description>
    <group>cve,privilege_escalation,linux,kernel,</group>
</rule>

<!-- Level 13: su or sudo executed after AF_ALG socket was created -->
<!-- This may represent execution of the modified page-cache entry  -->
<rule id="112005" level="13">
    <if_matched_sid>112001</if_matched_sid>
    <if_group>auditd</if_group>
    <field name="audit.key">cve_2026_31431_su_exec|cve_2026_31431_sudo_exec</field>
    <description>CVE-2026-31431 Copy Fail: su/sudo execution following AF_ALG socket creation — possible post-exploitation</description>
    <group>cve,privilege_escalation,linux,kernel,</group>
</rule>

<!-- Level 12: Attempt to load algif_aead after it was disabled as a mitigation -->
<rule id="112006" level="12">
    <if_group>auditd</if_group>
    <field name="audit.key">cve_2026_31431_module_load</field>
    <field name="audit.exe" type="pcre2">^.*(python|python3|insmod|modprobe).*$</field>
    <description>CVE-2026-31431 Copy Fail: Kernel module load attempt — verify algif_aead mitigation has not been bypassed</description>
    <group>cve,privilege_escalation,linux,kernel,</group>
</rule>

<!-- Level 13: modprobe.d config modified — possible mitigation removal -->
<rule id="112007" level="13">
    <if_group>auditd</if_group>
    <field name="audit.key">cve_2026_31431_modprobe_conf</field>
    <description>CVE-2026-31431 Copy Fail: /etc/modprobe.d modified — verify algif_aead disable config has not been removed</description>
    <group>cve,privilege_escalation,linux,kernel,</group>
</rule>

---

## पैचिंग और समाधान

### कर्नेल पैच

| शाखा | स्थिर संस्करण | फिक्स कमिट |
|--------|--------------|------------|
| स्थिर 6.18.x | 6.18.22 | `fafe0fa2995a0f7073c1c358d7d3145bcc9aedd8` |
| स्थिर 6.19.x | 6.19.12 | `ce42ee423e58dffa5ec03524054c9d8bfd4f6237` |
| मुख्यधारा | 7.0 | `a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5` |

यह फिक्स `algif_aead.c` में 2017 के इन-प्लेस AEAD ऑप्टिमाइज़ेशन को वापस आउट-ऑफ-प्लेस संचालन में बदल देता है, जिससे यह सुनिश्चित होता है कि पेज-कैश पेज कभी भी लिखने योग्य स्कैटरलिस्ट में न रखे जाएँ।

### वितरण-विशिष्ट मार्गदर्शन

| वितरण | क्रिया |
|---|---|
| Ubuntu | `apt-get update && apt-get upgrade linux-image-generic`; USN सलाहकार जाँचें |
| RHEL / Rocky / Alma | `dnf update kernel`; RHSB सलाहकार जाँचें |
| Amazon Linux 2023 | `dnf update kernel`; ALAS सलाहकार जाँचें |
| SUSE / openSUSE | `zypper update kernel-default`; SUSE SA सलाहकार जाँचें |
| Debian | सुरक्षा ट्रैकर जाँचें; बैकपोर्टेड पैच कर्नेल अपडेट से पहले आ सकता है |
| Arch | `pacman -Syu` (रोलिंग; अपस्ट्रीम फिक्स आते ही उसे लागू करें) |

### एक्सपोज़र के बाद अखंडता सत्यापन

यदि आपको संदेह है कि पैचिंग से पहले किसी होस्ट पर शोषण हुआ था:```bash
# 1. Check if /etc/passwd UID fields have been tampered
# (compare against a known-good backup or secondary host)
awk -F: '$3 ~ /^0+$/ && $1 != "root" {print "SUSPICIOUS UID 0 ENTRY:", $0}' /etc/passwd

# 2. Drop the page cache to flush any in-memory modifications
# WARNING: This impacts performance temporarily
sync && echo 3 | sudo tee /proc/sys/vm/drop_caches

# 3. Verify setuid binaries against package manager
rpm -Va --nomtime 2>/dev/null | grep -E '^.{0,8}5.*su$|^.{0,8}5.*sudo$'   # RHEL/rpm
debsums -s 2>/dev/null | grep -E 'su|sudo'                                  # Debian/Ubuntu

# 4. Re-examine recently logged su/sudo invocations for unexpected UID transitions
journalctl -u sudo --since "48 hours ago" | grep "session opened for user root"