मार्च/2026      → Theori शोधकर्ताओं ने कर्नेल में असामान्य व्यवहार की पहचान की
मार्च/2026      → कर्नेल सुरक्षा टीम को जिम्मेदार प्रकटीकरण
~1 सप्ताह बाद → kernel.org पर अपस्ट्रीम पैच उपलब्ध
मई/2026       → शोषण कोड (PoC) सार्वजनिक रूप से जारी
01/05/2026      → Microsoft तकनीकी विश्लेषण प्रकाशित करता है
04/05/2026      → CISA KEV कैटलॉग में जोड़ता है (ज्ञात शोषित भेद्यताएं)
15/05/2026      → अमेरिकी संघीय एजेंसियों में सुधार की समय सीमा

┌─────────────────────────────────────┐
│           USERSPACE                 │
│   हमलावर की प्रक्रिया (uid=1000)   │
│   → दुर्भावनापूर्ण syscall कॉल करता है         │
└────────────────┬────────────────────┘
                 │ syscall
                 ▼
┌─────────────────────────────────────┐
│           KERNELSPACE               │
│   डेटा कॉपी रूटीन          │
│   → BUG: मेटाडेटा कॉपी करने में विफलता  │
│   → नियंत्रण संरचना को दूषित करता है  │
│   → हमलावर पॉइंटर में हेरफेर करता है      │
│   → root के रूप में कोड निष्पादित करता है        │
└─────────────────────────────────────┘

// कमजोर संस्करण (सरलीकृत, शैक्षणिक)
int kernel_copy_data(struct user_request *req) {
    struct kernel_buffer kbuf;
    
    // BUG: केवल डेटा का हिस्सा कॉपी करता है, महत्वपूर्ण फ़ील्ड को अनदेखा करता है
    // सुरक्षा फ़ील्ड (security_context) कॉपी नहीं होते!
    memcpy(&kbuf.data, req->data, req->size);
    // → kbuf.security_context अप्रारंभित रहता है (मेमोरी कचरा)
    
    process_buffer(&kbuf); // दूषित डेटा का उपयोग करता है
    return 0;
}

// सही किया गया संस्करण
int kernel_copy_data(struct user_request *req) {
    struct kernel_buffer kbuf;
    
    // FIX: सुरक्षा फ़ील्ड सहित पूरा struct कॉपी करता है
    if (copy_from_user(&kbuf, req, sizeof(struct kernel_buffer)))
        return -EFAULT;
    
    process_buffer(&kbuf);
    return 0;
}

इंटरनेट → [वेब भेद्यता के माध्यम से RCE] → सीमित शेल → [CopyFail] → root

# आवश्यक उपकरण
sudo apt install -y git build-essential libssl-dev bc flex bison

# वर्तमान कर्नेल संस्करण जांचें
uname -r

# जांचें कि क्या यह कमजोर सीमा में है (≤ 7.0)
# कमजोर आउटपुट का उदाहरण: 6.8.0-51-generic

# 1. पृथक VM बनाएं (अनुशंसित: VirtualBox या QEMU)
# Ubuntu 24.04 या Debian Bookworm की ISO का उपयोग करें

# 2. पुष्टि करें कि VM की प्रोडक्शन इंटरनेट तक पहुंच नहीं है
# (होस्ट-ओनली या पृथक NAT नेटवर्क का उपयोग करें)

# 3. हमलावर का अनुकरण करने के लिए बिना विशेषाधिकार वाला उपयोगकर्ता बनाएं
sudo adduser testuser
su - testuser

# 4. सत्यापित करें कि testuser के पास sudo नहीं है
sudo whoami  # वापस आना चाहिए: "testuser is not in the sudoers file"

# सत्यापन स्क्रिप्ट (शोषण नहीं करती, केवल जांचती है)
#!/bin/bash

KERNEL_VERSION=$(uname -r | cut -d. -f1,2)
MAJOR=$(echo $KERNEL_VERSION | cut -d. -f1)
MINOR=$(echo $KERNEL_VERSION | cut -d. -f2)

echo "[*] पता चला कर्नेल: $(uname -r)"

if [ "$MAJOR" -lt 7 ] || ([ "$MAJOR" -eq 7 ] && [ "$MINOR" -eq 0 ]); then
    echo "[!] CVE-2026-31431 (CopyFail) के लिए संभावित रूप से कमजोर"
    echo "[!] जांचें कि क्या आपके वितरण विक्रेता ने पैच लागू किया है"
else
    echo "[+] कर्नेल संस्करण प्रभावित सीमा से बाहर है"
fi

# जांचें कि क्या पैच लागू किया गया है (पैकेज चेंजलॉग के माध्यम से)
apt changelog linux-image-$(uname -r) 2>/dev/null | grep -i "CVE-2026-31431" && \
    echo "[+] चेंजलॉग में CVE-2026-31431 पैच मिला" || \
    echo "[?] चेंजलॉग में पैच का पता नहीं चला — मैन्युअल रूप से जांचें"

#!/usr/bin/env python3
"""
CVE-2026-31431 (CopyFail) — शैक्षणिक प्रतिनिधित्व
उद्देश्य: आक्रामक/रक्षात्मक सुरक्षा में शिक्षा
बिना अनुमति के सिस्टम पर उपयोग न करें
"""

import ctypes
import os
import sys

def check_environment():
    """जांचें कि क्या हम लैब वातावरण में हैं"""
    kernel = os.uname().release
    print(f"[*] कर्नेल: {kernel}")
    print(f"[*] वर्तमान UID: {os.getuid()}")
    
    if os.getuid() == 0:
        print("[-] हम पहले से root हैं। एक्सप्लॉइट आवश्यक नहीं है।")
        sys.exit(0)

def demonstrate_concept():
    """
    हमले के वेक्टर का अवधारणात्मक प्रदर्शन:
    
    1. कमजोर syscall की पहचान करें
    2. अधूरी कॉपी को सक्रिय करने वाला पेलोड बनाएं
    3. मेमोरी भ्रष्टाचार की निगरानी करें
    4. विशेषाधिकार बढ़ाने के लिए प्रवाह को पुनर्निर्देशित करें
    
    वास्तविक एक्सप्लॉइट में:
    - हमलावर हीप स्प्रे या ROP चेन जैसी तकनीकों का उपयोग करता है
    - भ्रष्टाचार और दूषित डेटा के उपयोग के बीच की खिड़की का दुरुपयोग करता है
    - प्रक्रिया क्रेडेंशियल ओवरराइट करता है (uid → 0)
    """
    print("[*] अवधारणा: दोषपूर्ण कॉपी रूटीन का ट्रिगर")
    print("[*] अवधारणा: kernel_buffer struct के भ्रष्टाचार की निगरानी")
    print("[*] अवधारणा: निष्पादन प्रवाह का पुनर्निर्देशन")
    print("[*] देखें: https://xint.io/blog/copy-fail-linux-distributions")

def main():
    check_environment()
    demonstrate_concept()
    print("\n[i] पूर्ण तकनीकी विश्लेषण के लिए, देखें:")
    print("    → https://xint.io/blog/copy-fail-linux-distributions")
    print("    → https://www.microsoft.com/en-us/security/blog/2026/05/01/cve-2026-31431-copy-fail-vulnerability-enables-linux-root-privilege-escalation/")

if __name__ == "__main__":
    main()

# अलग टर्मिनल में, कर्नेल लॉग की निगरानी करें
sudo dmesg -w | grep -E "(oops|panic|null pointer|exploit|cve)"

# सिस्टम कॉल की निगरानी करें
sudo strace -e trace=all -p <PID_DO_PROCESSO>

# वास्तविक समय में UID परिवर्तन जांचें
watch -n 0.5 'cat /proc/self/status | grep -E "^(Uid|Gid)"'

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y linux-image-generic
sudo reboot

# रिबूट के बाद संस्करण जांचें
uname -r

# Red Hat / CentOS / Amazon Linux
sudo dnf update -y kernel
sudo reboot

# SUSE
sudo zypper update -t package kernel-default
sudo reboot

# स्थापित कर्नेल का चेंजलॉग जांचें
apt changelog linux-image-$(uname -r) | grep CVE-2026-31431

# Ubuntu CVE ट्रैकर के माध्यम से
# https://ubuntu.com/security/CVE-2026-31431

# Red Hat CVE डेटाबेस के माध्यम से
# https://access.redhat.com/security/cve/CVE-2026-31431

# SUID बाइनरी निष्पादन सीमित करें (हमले की सतह कम करता है)
find / -perm -4000 -type f 2>/dev/null

# संदिग्ध syscalls की ऑडिटिंग सक्षम करें
sudo auditctl -a always,exit -F arch=b64 -S all -k syscall_audit

# विशेषाधिकार वृद्धि प्रयासों की निगरानी करें
sudo apt install -y auditd
sudo auditctl -w /etc/passwd -p wa -k passwd_changes
sudo auditctl -w /etc/sudoers -p wa -k sudoers_changes

# कर्नेल सुरक्षा सक्रिय करें
# /etc/sysctl.conf — जोड़ें:
kernel.dmesg_restrict = 1
kernel.kptr_restrict = 2
kernel.perf_event_paranoid = 3
kernel.unprivileged_bpf_disabled = 1
net.core.bpf_jit_harden = 2

# लागू करें
sudo sysctl -p

# संभावित शोषण के संकेत:

# 1. सामान्य उपयोगकर्ता की प्रक्रियाएं root के रूप में चल रही हैं
ps aux | awk '$1 != "root" && $2 == "0"'

# 2. हाल ही में बनाए गए नए SUID बाइनरी
find / -perm -4000 -newer /etc/passwd -type f 2>/dev/null

# 3. /etc/passwd में संदिग्ध प्रविष्टियां
grep "uid=0" /etc/passwd

# 4. भ्रष्टाचार संदेशों के साथ कर्नेल लॉग
dmesg | grep -iE "(oops|BUG:|corruption|cve)"

# 5. अनधिकृत नेटवर्क कनेक्शन
ss -tulnp | grep LISTEN