🔴 CVE-2026-31431 — Copy Fail

Linux Kernel Local Privilege Escalation (LPE) — रक्षात्मक अनुसंधान रिपॉजिटरी

📖 परिचय

Copy Fail (CVE-2026-31431) एक Local Privilege Escalation (LPE) प्रकार की भेद्यता है जो AF_ALG, splice() और authencesn तंत्रों के माध्यम से पेज कैश के नियंत्रित भ्रष्टाचार द्वारा Linux कर्नेल को प्रभावित करती है।

इस रिपॉजिटरी का उद्देश्य है:

• भेद्यता के आंतरिक तंत्र का दस्तावेजीकरण करना,
• शोषण की तार्किक श्रृंखला को समझाना,
• रक्षात्मक प्रभाव प्रस्तुत करना,
• पहचान रणनीतियाँ प्रस्तावित करना,
• शमन उपाय प्रदान करना,
• Linux कर्नेल सुरक्षा के प्रति जागरूकता बढ़ाना।

⚠️ यह परियोजना पूर्णतः शैक्षिक, रक्षात्मक और सुरक्षा अनुसंधान के लिए है।

📑 विषय-सूची

• अवलोकन
• दोष का तंत्र
• हमले की सतह
• प्रयोगशाला प्रदर्शन
• पहचान और IOC
• शमन
• समयरेखा
• संदर्भ
• कानूनी सूचना

🧪 अनुसंधान ढांचा

इस रिपॉजिटरी में प्रस्तुत सभी प्रदर्शन पृथक और नियंत्रित प्रयोगशाला वातावरण में किए गए हैं।

स्पष्ट अनुमति के बिना तृतीय-पक्ष प्रणालियों पर कोई उपयोग की अनुमति नहीं है।

🔍 अवलोकन

🧠 यह दोष क्यों महत्वपूर्ण है

इसकी तुलना इनसे की जा सकती है:

• Dirty Cow (CVE-2016-5195)
• Dirty Pipe (CVE-2022-0847)
• आधुनिक पेज कैश भ्रष्टाचार प्रिमिटिव

🧬 श्रृंखला का सरलीकृत दृश्य

User Space
    ↓
AF_ALG Socket
    ↓
splice()
    ↓
Page Cache Reference
    ↓
authencesn In-Place Write
    ↓
Controlled 4-Byte Overwrite
    ↓
execve()
    ↓
Privilege Escalation

⚙️ दोष का तंत्र

तकनीकी कालक्रम

2011 → authencesn ajouté au kernel
2015 → AF_ALG reçoit le support AEAD + splice()
2017 → Optimisation in-place dans algif_aead.c
2026 → Découverte et correctif officiel

🔩 शामिल घटक

AF_ALG

सॉकेट इंटरफ़ेस जो Linux कर्नेल की क्रिप्टोग्राफ़िक प्रिमिटिव को userspace में प्रदर्शित करता है।

splice()

तंत्र जो file descriptors के बीच बिना प्रतिलिपि के पृष्ठों का स्थानांतरण सक्षम करता है।

authencesn

AEAD IPsec ESN टेम्पलेट जो गंतव्य बफर को अस्थायी कार्य स्थान के रूप में उपयोग करता है।

🧨 मूल कारण

algif_aead.c में पेश किए गए अनुकूलन ने sg_chain() के माध्यम से पेज कैश पृष्ठों को गंतव्य scatterlist में सीधे श्रृंखलाबद्ध करने की अनुमति दी।

Input SGL:   AAD || Ciphertext || Tag (page cache)
                                     ↑
Output SGL:  AAD || Ciphertext ------+

authencesn तब लक्ष्य फ़ाइल के पेज कैश पृष्ठों में सीधे लिखता है।

🎯 हमले की सतह

🖥️ प्रभावित प्रणालियाँ

🧪 प्रदर्शन (केवल प्रयोगशाला)

⚠️ केवल पृथक परीक्षण वातावरण के लिए।

पूर्व-जाँच

uname -r
lsmod | grep algif_aead
python3 --version

PoC का क्लोनिंग

git clone https://github.com/theori-io/copy-fail-CVE-2026-31431.git
cd copy-fail-CVE-2026-31431

निष्पादन

python3 copy_fail_exp.py

🛡️ पहचान और IOC

Auditd

auditctl -a always,exit -F arch=b64 -S socket -F a0=38 -k af_alg_socket
auditctl -a always,exit -F arch=b64 -S splice -k splice_monitor

व्यवहारिक पहचान

ps aux | awk '$1 == "root"'
ss -tlnp

रक्षात्मक निगरानी

• eBPF monitoring
• Falco
• Wazuh
• EDR मेमोरी निरीक्षण
• पेज-कैश विसंगति पहचान

🛡️ शमन

algif_aead अक्षम करना

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead

seccomp प्रतिबंध

{
  "defaultAction": "SCMP_ACT_ALLOW",
  "syscalls": [
    {
      "names": ["socket"],
      "action": "SCMP_ACT_ERRNO",
      "args": [
        { "index": 0, "value": 38, "op": "SCMP_CMP_EQ" }
      ]
    }
  ]
}

✅ आधिकारिक पैच

पैच a664bf3d603d algif_aead.c में संवेदनशील in-place ऑपरेशन को हटा देता है।

sudo apt update && sudo apt upgrade
sudo reboot

📅 समयरेखा

🔗 संदर्भ

📈 SEO / कीवर्ड्स

linux kernel security, CVE-2026-31431, copy fail, page cache, AF_ALG, authencesn, linux LPE, kernel exploit, linux hardening, security research, dirty pipe, kernel mitigation

⚖️ कानूनी सूचना

यह रिपॉजिटरी विशेष रूप से इसके लिए है:

• रक्षात्मक अनुसंधान,
• अधिकृत प्रयोगशालाएँ,
• साइबर सुरक्षा शिक्षा,
• Linux सुरक्षा विश्लेषण।

कोई भी अनधिकृत उपयोग अवैध है।

👤 क्रेडिट

मूल अनुसंधान

• theori.io
• Linux सुरक्षा अनुसंधान समुदाय

फ्रैंकोफोन परियोजना

• @Maxime288

⭐ Linux कर्नेल सुरक्षा अनुसंधान का समर्थन करें

🛡️ जागरूकता • शमन • रक्षात्मक अनुसंधान
🔁 परियोजना को साइबर सुरक्षा समुदाय के साथ साझा करें
⭐ Linux सुरक्षा अनुसंधान का समर्थन करें

---