CVE-2026-31431 (कॉपी फेल) डिटेक्शन टूलकिट

CVE-2026-31431 "कॉपी फेल" के लिए डिटेक्शन और विश्लेषण टूलकिट - एक गंभीर Linux लोकल प्रिविलेज एस्केलेशन भेद्यता जो 2017 से आगे के वितरणों को प्रभावित करती है।

भेद्यता अवलोकन

CVE-2026-31431 Linux कर्नेल के algif_aead कार्यान्वयन में एक तर्क दोष का शोषण करता है, जो निम्नलिखित के माध्यम से विश्वसनीय लोकल प्रिविलेज एस्केलेशन सक्षम करता है:

• कर्नेल क्रिप्टो API (algif_aead) में तर्क बग
• AF_ALG सॉकेट इंटरफ़ेस और splice() सिस्टम कॉल के माध्यम से शोषण वेक्टर
• setuid बाइनरी के पेज कैश को लक्षित करने वाला 4-बाइट राइट प्रिमिटिव
• 100% विश्वसनीयता - कोई रेस कंडीशन या कर्नेल-विशिष्ट ऑफसेट की आवश्यकता नहीं

गंभीर प्रभाव परिदृश्य

• कंटेनर एस्केप: कंटेनर से होस्ट रूट तक प्रिविलेज एस्केलेशन
• मल्टी-टेनेंट समझौता: साझा वातावरण में क्रॉस-टेनेंट प्रिविलेज एस्केलेशन
• CI/CD इंफ्रास्ट्रक्चर: बिल्ड पाइपलाइनों में दुर्भावनापूर्ण कोड निष्पादन
• साझा विकास प्रणाली: किसी भी लोकल उपयोगकर्ता से रूट एस्केलेशन

डिटेक्शन टूल्स

1. प्राथमिक डिटेक्शन स्क्रिप्ट (copy_fail_detect.py)

सक्रिय और फोरेंसिक विश्लेषण के लिए व्यापक Python-आधारित डिटेक्शन इंजन।

क्षमताएँ:

• AF_ALG सॉकेट गणना और विश्लेषण
• Setuid बाइनरी अखंडता सत्यापन (डिस्क बनाम मेमोरी तुलना)
• कर्नेल क्रिप्टो मॉड्यूल स्थिति मूल्यांकन
• शोषण संकेतकों के लिए सिस्टम लॉग विश्लेषण
• क्रिप्टो API दुरुपयोग के लिए प्रक्रिया व्यवहार विश्लेषण
• प्रमाणीकरण लॉग सहसंबंध

उपयोग:

sudo sudo										# प्रिविलेज्ड मोड अधिक आर्टिफैक्ट्स का पता लगाता है
python3 copy_fail_detect.py                    	# पूर्ण सिस्टम स्कैन
python3 copy_fail_detect.py --monitor          	# निरंतर निगरानी मोड

2. YARA डिटेक्शन नियम (copy_fail_detection.yar)

फ़ाइल सिस्टम और मेमोरी विश्लेषण के लिए हस्ताक्षर-आधारित डिटेक्शन।

नियम कवरेज:

• CopyFail_Exploit_Python: Python शोषण वेरिएंट डिटेक्शन
• CopyFail_Exploit_Generic: सामान्य शोषण तकनीक पैटर्न
• CopyFail_InMemory_Artifacts: रनटाइम मेमोरी आर्टिफैक्ट डिटेक्शन
• CopyFail_Modified_SetUID: संशोधित setuid बाइनरी डिटेक्शन
• CopyFail_C_Implementation: C/C++ शोषण कार्यान्वयन डिटेक्शन

उपयोग:

yara copy_fail_detection.yar /path/to/scan
yara copy_fail_detection.yar /proc/*/mem

3. Windows पर्यावरण स्कैनर (Copy-Fail-Windows-Detect.ps1)

WSL, Docker, या Linux VM वाले Windows सिस्टम के लिए PowerShell-आधारित डिटेक्शन। पूरी तरह से परीक्षित नहीं!

लक्षित वातावरण:

• Windows Subsystem for Linux (WSL) इंस्टेंस
• Windows पर चलने वाले Docker कंटेनर
• Windows इवेंट लॉग विश्लेषण
• क्रॉस-प्लेटफ़ॉर्म पर्यावरण सहसंबंध

उपयोग:

.\Copy-Fail-Windows-Detect.ps1 -All
.\Copy-Fail-Windows-Detect.ps1 -WSL
.\Copy-Fail-Windows-Detect.ps1 -Docker

लाइसेंस और कानूनी नोटिस

यह टूलकिट केवल रक्षात्मक साइबर सुरक्षा उद्देश्यों के लिए प्रदान किया गया है। उपयोग लागू कानूनों और संगठनात्मक नीतियों का पालन करना चाहिए। किसी भी वातावरण में तैनाती से पहले उचित प्राधिकरण प्राप्त करने के लिए उपयोगकर्ता जिम्मेदार हैं।

संदर्भ

• CVE विवरण: CVE-2026-31431
• मूल प्रकटीकरण: https://copy.fail/
• तकनीकी विश्लेषण: Theori Security Research