🐧 CVE-2026-31431 — CopyFail: Linux कर्नेल विशेषाधिकार वृद्धि

पूर्ण केस स्टडी — यह कैसे खोजा गया, यह कैसे काम करता है, कैसे परीक्षण करें, कैसे दोहराएं (सुरक्षित वातावरण में) और उस गंभीर भेद्यता को कैसे ठीक करें जो 2017 से लगभग सभी Linux वितरणों को प्रभावित करती है।

---

🚨 कानूनी चेतावनी / अस्वीकरण

यह रिपॉजिटरी पूर्णतः शैक्षणिक उद्देश्यों के लिए है। यहां मौजूद जानकारी सुरक्षा पेशेवरों, शोधकर्ताओं और साइबर सुरक्षा छात्रों के लिए है। बिना स्पष्ट अनुमति के किसी भी सिस्टम पर यहां वर्णित किसी भी तकनीक का उपयोग कभी न करें। इन सूचनाओं का दुरुपयोग कानून संख्या 12.737/2012 (कैरोलिना डाइकमैन कानून) और इंटरनेट के नागरिक ढांचे (कानून संख्या 12.965/2014) के तहत अपराध हो सकता है।

---

📋 अनुक्रमणिका

• अवलोकन
• यह कैसे खोजा गया
• भेद्यता कैसे काम करती है
• प्रभावित सिस्टम
• शोषण परिदृश्य
• कैसे परीक्षण करें (सुरक्षित लैब)
• एक्सप्लॉइट को दोहराना
• कैसे ठीक करें
• समझौता संकेतक (IOCs)
• सीखे गए सबक
• संदर्भ

---

📌 अवलोकन

फ़ील्ड	विवरण
CVE ID	CVE-2026-31431
उपनाम	CopyFail
प्रकार	स्थानीय विशेषाधिकार वृद्धि (LPE) — विशेषाधिकार वृद्धि
CVSS स्कोर	8.8 (उच्च) / श्रृंखला में संभावित रूप से गंभीर
घटक	Linux कर्नेल — डेटा कॉपी तंत्र
संस्करण	Linux कर्नेल ≤ 7.0 (2017 से वितरण)
द्वारा खोजा गया	Theori (सुरक्षा कंपनी)
घोषित	मार्च 2026
अपस्ट्रीम पैच	जिम्मेदार प्रकटीकरण के ~1 सप्ताह बाद उपलब्ध
CISA स्थिति	सक्रिय रूप से शोषित के रूप में सूचीबद्ध — KEV कैटलॉग
CISA समय सीमा	संघीय एजेंसियों को 15/05/2026 तक ठीक करना होगा

---

🔍 यह कैसे खोजा गया

CopyFail भेद्यता सुरक्षा कंपनी Theori द्वारा Linux कर्नेल कोड के विश्लेषण के दौरान खोजी गई थी, विशेष रूप से मेमोरी स्पेस के बीच डेटा कॉपी करने के लिए जिम्मेदार सबसिस्टम में।

समयरेखा

मार्च/2026      → Theori शोधकर्ताओं ने कर्नेल में असामान्य व्यवहार की पहचान की
मार्च/2026      → कर्नेल सुरक्षा टीम को जिम्मेदार प्रकटीकरण
~1 सप्ताह बाद → kernel.org पर अपस्ट्रीम पैच उपलब्ध
मई/2026       → शोषण कोड (PoC) सार्वजनिक रूप से जारी
01/05/2026      → Microsoft तकनीकी विश्लेषण प्रकाशित करता है
04/05/2026      → CISA KEV कैटलॉग में जोड़ता है (ज्ञात शोषित भेद्यताएं)
15/05/2026      → अमेरिकी संघीय एजेंसियों में सुधार की समय सीमा

"CopyFail" नाम क्यों?

Linux कर्नेल में आंतरिक रूटीन हैं जो मेमोरी के विभिन्न क्षेत्रों (userspace ↔ kernelspace) के बीच डेटा कॉपी करने के लिए जिम्मेदार हैं। इस दोष को CopyFail नाम दिया गया है क्योंकि प्रभावित घटक कुछ डेटा कॉपी करना बंद कर देता है जब उसे करना चाहिए। यह कर्नेल के भीतर संवेदनशील डेटा संरचनाओं को दूषित करता है, जिससे विशेषाधिकार वृद्धि के लिए शोषण की खिड़की खुल जाती है।

---

⚙️ भेद्यता कैसे काम करती है

तकनीकी अवधारणा

Linux कर्नेल मेमोरी को दो अलग-अलग स्थानों में प्रबंधित करता है:

• Userspace: जहां सामान्य प्रक्रियाएं (उपयोगकर्ता) काम करती हैं, प्रतिबंधित पहुंच के साथ
• Kernelspace: विशेषाधिकार प्राप्त स्थान, हार्डवेयर और सिस्टम डेटा तक पूर्ण पहुंच के साथ

┌─────────────────────────────────────┐
│           USERSPACE                 │
│   हमलावर की प्रक्रिया (uid=1000)   │
│   → दुर्भावनापूर्ण syscall कॉल करता है         │
└────────────────┬────────────────────┘
                 │ syscall
                 ▼
┌─────────────────────────────────────┐
│           KERNELSPACE               │
│   डेटा कॉपी रूटीन          │
│   → BUG: मेटाडेटा कॉपी करने में विफलता  │
│   → नियंत्रण संरचना को दूषित करता है  │
│   → हमलावर पॉइंटर में हेरफेर करता है      │
│   → root के रूप में कोड निष्पादित करता है        │
└─────────────────────────────────────┘

शोषण तंत्र

1. ट्रिगर: हमलावर (बिना विशेषाधिकार वाला स्थानीय उपयोगकर्ता) एक विशिष्ट syscall को कॉल करता है जो दोषपूर्ण कॉपी रूटीन को सक्रिय करता है
2. भ्रष्टाचार: डेटा कॉपी करने में विफलता कर्नेल की नियंत्रण संरचना को दूषित करती है (जैसे: क्रेडेंशियल struct या फ़ंक्शन पॉइंटर)
3. कंट्रोल फ्लो हाईजैक: हमलावर कर्नेल निष्पादन को पुनर्निर्देशित करने के लिए भ्रष्टाचार का फायदा उठाता है
4. विशेषाधिकार वृद्धि: हमलावर की प्रक्रिया uid=0 (root) के साथ चलने लगती है, जिससे सिस्टम पर पूर्ण नियंत्रण मिल जाता है

बग का सरलीकृत स्यूडोकोड

// कमजोर संस्करण (सरलीकृत, शैक्षणिक)
int kernel_copy_data(struct user_request *req) {
    struct kernel_buffer kbuf;
    
    // BUG: केवल डेटा का हिस्सा कॉपी करता है, महत्वपूर्ण फ़ील्ड को अनदेखा करता है
    // सुरक्षा फ़ील्ड (security_context) कॉपी नहीं होते!
    memcpy(&kbuf.data, req->data, req->size);
    // → kbuf.security_context अप्रारंभित रहता है (मेमोरी कचरा)
    
    process_buffer(&kbuf); // दूषित डेटा का उपयोग करता है
    return 0;
}

// सही किया गया संस्करण
int kernel_copy_data(struct user_request *req) {
    struct kernel_buffer kbuf;
    
    // FIX: सुरक्षा फ़ील्ड सहित पूरा struct कॉपी करता है
    if (copy_from_user(&kbuf, req, sizeof(struct kernel_buffer)))
        return -EFAULT;
    
    process_buffer(&kbuf);
    return 0;
}

---

🎯 प्रभावित सिस्टम

वितरण	संस्करण	स्थिति
Red Hat Enterprise Linux	10.1	✅ कमजोर
Ubuntu LTS	24.04	✅ कमजोर
Amazon Linux	2023	✅ कमजोर
SUSE Linux	16	✅ कमजोर
Debian	हालिया स्थिर	✅ कमजोर
Fedora	हालिया	✅ कमजोर
Kubernetes (नोड्स)	कर्नेल ≤7.0 पर सभी	✅ कमजोर

⚠️ 2017 से जारी कर्नेल ≤ 7.0 चलाने वाला कोई भी Linux वितरण संभावित रूप से कमजोर है।

---

💥 शोषण परिदृश्य

परिदृश्य 1 — प्रत्यक्ष स्थानीय हमला

साझा सर्वर (जैसे: होस्टिंग वातावरण, VPS) पर बिना विशेषाधिकार वाला उपयोगकर्ता एक्सप्लॉइट चलाता है और root प्राप्त करता है।

परिदृश्य 2 — रिमोट एक्सप्लॉइट के साथ श्रृंखलाबद्ध (RCE → LPE)

इंटरनेट → [वेब भेद्यता के माध्यम से RCE] → सीमित शेल → [CopyFail] → root

Microsoft के विश्लेषण के अनुसार: इस दोष को इंटरनेट से दिए गए एक्सप्लॉइट (जैसे: वेब एप्लिकेशन में RCE) के साथ जोड़ा जा सकता है, जिसके परिणामस्वरूप सर्वर से पूर्ण समझौता होता है।

परिदृश्य 3 — सोशल इंजीनियरिंग

Linux उपयोगकर्ता को दुर्भावनापूर्ण लिंक या अटैचमेंट खोलने के लिए धोखा दिया जाता है जो स्थानीय रूप से एक्सप्लॉइट को सक्रिय करता है।

परिदृश्य 4 — सप्लाई चेन अटैक

दुर्भावनापूर्ण अभिनेता ओपन सोर्स डेवलपर खाते से समझौता करता है और व्यापक रूप से वितरित कोड में एक्सप्लॉइट इंजेक्ट करता है।

परिदृश्य 5 — डेटासेंटर समझौता

समझौता किया गया क्लाउड सर्वर उसी बुनियादी ढांचे पर सभी VMs, कंटेनर, एप्लिकेशन और ग्राहक डेटाबेस को उजागर कर सकता है।

---

🧪 कैसे परीक्षण करें (सुरक्षित लैब)

⚠️ केवल नियंत्रित और पृथक वातावरण में — बाहरी नेटवर्क पहुंच के बिना VM!

पूर्वापेक्षाएँ

# आवश्यक उपकरण
sudo apt install -y git build-essential libssl-dev bc flex bison

# वर्तमान कर्नेल संस्करण जांचें
uname -r

# जांचें कि क्या यह कमजोर सीमा में है (≤ 7.0)
# कमजोर आउटपुट का उदाहरण: 6.8.0-51-generic

परीक्षण वातावरण सेट करना

# 1. पृथक VM बनाएं (अनुशंसित: VirtualBox या QEMU)
# Ubuntu 24.04 या Debian Bookworm की ISO का उपयोग करें

# 2. पुष्टि करें कि VM की प्रोडक्शन इंटरनेट तक पहुंच नहीं है
# (होस्ट-ओनली या पृथक NAT नेटवर्क का उपयोग करें)

# 3. हमलावर का अनुकरण करने के लिए बिना विशेषाधिकार वाला उपयोगकर्ता बनाएं
sudo adduser testuser
su - testuser