| मीट्रिक | मान | तर्क |
|--------|-------|-----------|
| आक्रमण वेक्टर | **स्थानीय** | शेल एक्सेस की आवश्यकता (SSH, कंटेनर exec, भौतिक) |
| आक्रमण जटिलता | **कम** | विश्वसनीय, पूर्णतः स्वचालित — कोई रेस कंडीशन आवश्यक नहीं |
| आवश्यक विशेषाधिकार | **कम** | कोई भी गैर-विशेषाधिकार प्राप्त उपयोगकर्ता खाता |
| उपयोगकर्ता सहभागिता | **कोई नहीं** | कोई पीड़ित सहभागिता आवश्यक नहीं |
| गोपनीयता | **उच्च** | पूर्ण सिस्टम समझौता |
| अखंडता | **उच्च** | पूर्ण सिस्टम समझौता |
| उपलब्धता | **उच्च** | पूर्ण सिस्टम समझौता |

### खतरा परिदृश्य

| कारक | आकलन |
|--------|-----------|
| PoC उपलब्धता | सार्वजनिक, हथियारबद्ध, 732-बाइट स्टैंडअलोन Python |
| एक्सप्लॉइट विश्वसनीयता | उच्च — बिना संशोधन के परीक्षण किए गए डिस्ट्रोस पर काम करता है |
| पहचान कठिनाई | उच्च — कोई डिस्क राइट नहीं, कोई डर्टी पेज नहीं |
| आवश्यक हमलावर कौशल | कम — सार्वजनिक PoC वाला स्क्रिप्ट किडी |
| CISA KEV | 2026 में जोड़ा गया — सक्रिय रूप से निगरानी में |
| Microsoft Defender | सक्रिय जांच के अधीन चिह्नित |

### प्रभावित वातावरण

| वातावरण | जोखिम |
|-------------|------|
| बेयर-मेटल Linux सर्वर | गंभीर |
| Linux VMs (क्लाउड या ऑन-प्रिमाइसेस) | गंभीर |
| Kubernetes नोड्स | गंभीर (कंटेनर एस्केप भी सक्षम करता है) |
| Docker होस्ट | गंभीर |
| साझा होस्टिंग / मल्टी-टेनेंट | गंभीर |
| WSL2 / Windows पर Linux | कर्नेल संस्करण के अनुसार आकलन करें |

---

## 3. तकनीकी गहन विश्लेषण

### 3.1 पृष्ठभूमि: AF_ALG और AEAD

Linux कर्नेल **AF_ALG सॉकेट्स** (`AF_ALG = 38`) के माध्यम से क्रिप्टोग्राफिक ऑपरेशन्स को यूज़रस्पेस में उजागर करता है। यह इंटरफ़ेस (`algif_aead`) गैर-विशेषाधिकार प्राप्त अनुप्रयोगों को कर्नेल-मोड कोड की आवश्यकता के बिना कर्नेल क्रिप्टो हार्डवेयर एक्सेलेरेटर को आमंत्रित करने की अनुमति देता है।

**AEAD** (एसोसिएटेड डेटा के साथ प्रमाणित एन्क्रिप्शन) एल्गोरिदम जैसे AES-GCM और ChaCha20-Poly1305 व्यापक रूप से TLS, डिस्क एन्क्रिप्शन और VPN प्रोटोकॉल के लिए उपयोग किए जाते हैं। कमजोर टेम्पलेट `authencesn` है — एक AEAD संरचना जो `hmac(sha256)` + `cbc(aes)` का उपयोग करती है, जिसमें विस्तारित अनुक्रम संख्या (ESN) समर्थन होता है, जो आमतौर पर IPsec में उपयोग किया जाता है।

### 3.2 मूल कारण

2017 में, कमिट `72548b093ee3` ने प्रदर्शन अनुकूलन के रूप में `algif_aead` में **इन-प्लेस AEAD ऑपरेशन** पेश किया — जिससे क्रिप्टो इंजन को एक ही बफर को पढ़ने और लिखने की अनुमति मिली। यह त्रुटिपूर्ण था:```
The bug chain:

1. Caller binds AF_ALG socket to:
      authencesn(hmac(sha256),cbc(aes))

2. Caller sends a decryption request via sendmsg() with specific flags

3. Caller uses splice() to feed PAGE CACHE PAGES from an open file
   descriptor directly into the socket's scatterlist

4. The authencesn template, during ESN header processing, uses the
   OUTPUT BUFFER as scratch space — writing 4 bytes past the
   expected output boundary

5. Because the scatterlist contains page cache pages (not private
   copies), this scratch write lands DIRECTLY IN THE PAGE CACHE

6. Page cache is shared kernel-wide — all processes reading the
   same file now see the modified bytes

Key insight: splice() is zero-copy — it hands page cache references
to the socket. The in-place "optimization" then writes INTO those
pages. No dirty bit is set because the write goes through the crypto
engine, not the normal write path.

### 3.5 मानक सुरक्षा उपाय विफल क्यों होते हैं

| सुरक्षा उपाय | बायपास हुआ? | कारण |
|---------|-----------|--------|
| फ़ाइल अखंडता निगरानी (Tripwire/AIDE) | **हाँ** | डिस्क पर कोई बदलाव नहीं |
| IDS फ़ाइल हैश जाँच | **हाँ** | डिस्क बाइट्स अपरिवर्तित |
| `inotify` फ़ाइल वॉच | **हाँ** | कोई VFS राइट इवेंट नहीं |
| SELinux / AppArmor | **आंशिक** | प्रोसेस को नियंत्रित करता है, क्रिप्टो इंजन के माध्यम से पेज कैश राइट को नहीं |
| रीड-ओनली माउंट | **हाँ** | पेज कैश मेमोरी में संशोधित होता है, माउंट के माध्यम से नहीं |
| बाइनरी पर auditd `watch` | **हाँ** | ऑडिट VFS राइट्स देखता है — यह VFS को बायपास करता है |

### 3.6 प्रभावित कर्नेल संस्करण

| ब्रांच | कमज़ोर संस्करण तक | स्थिर संस्करण से |
|--------|-------------------|------------|
| 4.14.x | सभी (कमज़ोरी का उद्गम) | कोई अपस्ट्रीम फिक्स नहीं (EOL) |
| 5.4.x (LTS) | सभी | डिस्ट्रीब्यूशन बैकपोर्ट आवश्यक |
| 5.10.x (LTS) | सभी | डिस्ट्रीब्यूशन बैकपोर्ट आवश्यक |
| 5.15.x (LTS) | सभी | डिस्ट्रीब्यूशन बैकपोर्ट आवश्यक |
| 6.1.x (LTS) | ≤ 6.1.129 | **6.1.130+** |
| 6.6.x (LTS) | ≤ 6.6.86 | **6.6.87+** |
| 6.12.x (LTS) | ≤ 6.12.22 | **6.12.23+** |
| 6.15-rc | rc में स्थिर | **6.15-rc+** |

> डिस्ट्रीब्यूशन कर्नेल ने फिक्स को अलग-अलग संस्करण संख्याओं पर बैकपोर्ट किया हो सकता है। हमेशा अपने डिस्ट्रीब्यूशन के सुरक्षा परामर्श की जाँच करें।

---

## 4. हमला पद्धति — रेड टीम

> **प्राधिकरण आवश्यक।** यह अनुभाग रक्षकों को हमलावर के दृष्टिकोण को समझने में मदद करने के लिए मौजूद है। केवल उन सिस्टमों पर निष्पादित करें जिनके आप स्वामी हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है।

### 4.1 पूर्वापेक्षाएँ

- लक्ष्य पर निम्न-विशेषाधिकार वाला शेल (SSH, कंटेनर exec, RCE चेन)
- Python 3.10+ **या** संकलित C बाइनरी
- अनपैच्ड कर्नेल जिसमें `algif_aead` उपलब्ध हो

### 4.2 टोही```bash
# Check if vulnerable
uname -r
cat /proc/crypto | grep -A10 "authencesn"
lsmod | grep algif_aead

# Verify setuid target exists
ls -la /usr/bin/su /usr/bin/sudo /usr/bin/passwd

A local copy is available at `exploit/poc.py`. See `exploit/README.md` for technical breakdown.

### 4.4 Container Escape Scenario

Because the Linux page cache is shared between all processes on the same host (including host and containers):```
Attacker in container → patches /usr/bin/su in HOST page cache
Host user runs su → executes attacker code as root on host

**यह क्या जाँचता है:**
- ज्ञात-कमजोर रेंज के विरुद्ध कर्नेल संस्करण
- `algif_aead` मॉड्यूल लोड स्थिति और ब्लैकलिस्ट स्थिति
- `/proc/crypto` में `authencesn` उपलब्धता
- setuid बाइनरीज़ की पेज कैश अखंडता (रूट की आवश्यकता है)
- वितरण-विशिष्ट पैच स्थिति
- सक्रिय शोषण संकेतकों के लिए चल रही प्रक्रियाएँ

एक टाइमस्टैम्प्ड रिपोर्ट `/tmp/cve-2026-31431-report-*.txt` में सहेजी जाती है।

### 5.2 YARA डिटेक्शन

`detection/yara/` में दो YARA नियम प्रदान किए गए हैं:

| नियम फ़ाइल | उद्देश्य |
|-----------|---------|
| `cve_2026_31431_base.yar` | ज्ञात सार्वजनिक PoC से बिल्कुल मेल खाता है |
| `cve_2026_31431_enhanced.yar` | अस्पष्ट, संकलित और वेरिएंट शोषण का पता लगाता है |```bash
# Install YARA
apt-get install yara   # Debian/Ubuntu
dnf install yara       # RHEL/Fedora
apk add yara           # Alpine

# Scan running process executables
sudo yara -r detection/yara/cve_2026_31431_enhanced.yar /proc/*/exe 2>/dev/null

# Scan common dropper locations
sudo yara -r detection/yara/cve_2026_31431_enhanced.yar /home /tmp /var/tmp /dev/shm

# Scan uploaded files / quarantine
yara detection/yara/cve_2026_31431_base.yar <suspect_file>

पुनः लोड करें:```bash
augenrules --load && service auditd restart

### 5.4 Falco / eBPF डिटेक्शन

`/etc/falco/rules.d/cve-2026-31431.yaml` में जोड़ें:```yaml
- rule: CVE-2026-31431 AF_ALG Socket Creation
  desc: Detects unprivileged process creating AF_ALG socket (family 38) — required step for Copy Fail exploit
  condition: >
    syscall.type = socket and
    evt.arg.domain = 38 and
    not user.uid = 0 and
    not proc.name in (known_crypto_daemons)
  output: >
    CVE-2026-31431 exploitation attempt - AF_ALG socket (user=%user.name
    uid=%user.uid pid=%proc.pid cmd=%proc.cmdline)
  priority: CRITICAL
  tags: [cve-2026-31431, lpe, kernel, crypto]

- list: known_crypto_daemons
  items: [strongswan, charon, pluto, openssl]

- rule: CVE-2026-31431 Splice After AF_ALG
  desc: Detects splice() syscall shortly after AF_ALG socket creation — exploitation sequence
  condition: >
    syscall.type = splice and
    not user.uid = 0 and
    evt.elapsed < 5000000000
  output: >
    CVE-2026-31431 splice after AF_ALG socket (user=%user.name pid=%proc.pid)
  priority: CRITICAL
  tags: [cve-2026-31431, lpe]

### 5.6 समझौते के संकेतक (IoCs)

| IoC प्रकार | संकेतक | विश्वास स्तर |
|----------|-----------|-----------|
| स्ट्रिंग (बाइनरी/स्क्रिप्ट) | `authencesn(hmac(sha256),cbc(aes))` | उच्च |
| हेक्स बाइट्स | `78 DA AB 77 F5 71 63 62 64 64` (zlib पेलोड हेडर) | उच्च |
| सिसकॉल अनुक्रम | `socket(38,5,0)` → `bind()` → `splice()` | उच्च |
| नेटवर्क | कोई नहीं — पूर्णतः स्थानीय | N/A |
| फ़ाइल | कोई डिस्क लेखन नहीं (स्टील्थ) | — |
| प्रक्रिया | AF_ALG सॉकेट वाली अल्पकालिक Python/C प्रक्रिया | मध्यम |
| पेज कैश | सेटुइड बाइनरी पेज कैश ≠ डिस्क पर हैश | गंभीर |

### 5.7 SIEM डिटेक्शन क्वेरीज़

**Splunk (auditd स्रोत):**```spl
index=linux_audit sourcetype=auditd action=SYSCALL syscall=socket a0="0x26"
| join pid [
    search index=linux_audit sourcetype=auditd action=SYSCALL syscall=splice
  ]
| where (_time - join_time) < 30
| table _time host user pid cmd a0
| eval severity="CRITICAL"

**Microsoft Sentinel (KQL):**```kql
Syslog
| where Facility == "kern" or ProcessName == "audit"
| where SyslogMessage contains "socket" and SyslogMessage contains "a0=0x26"
| extend UserName = extract("uid=([0-9]+)", 1, SyslogMessage)
| where UserName != "0"
| project TimeGenerated, Computer, UserName, SyslogMessage
| order by TimeGenerated desc

### 6.1 तत्काल शमन (रीबूट की आवश्यकता नहीं*)```bash
# Blacklist the module permanently
echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
echo "install authencesn /bin/false" | sudo tee -a /etc/modprobe.d/disable-algif-aead.conf

# Unload if currently loaded
sudo rmmod algif_aead 2>/dev/null || echo "Not loaded — mitigation active after config"

# Verify
lsmod | grep algif_aead && echo "WARNING: still loaded — reboot needed" || echo "OK: not loaded"

नोड ऑटो-अपग्रेडर (Karpenter, Managed Node Groups) का उपयोग करें या जहाँ उपलब्ध हो वहाँ क्लस्टर नोड पूल रोटेशन करें।

### 6.4 पैच के बाद सत्यापन```bash
# Re-run detection script
sudo ./detection/check_vulnerable.sh

# Quick manual verification
uname -r                          # confirm new kernel version
lsmod | grep algif_aead           # should be empty
cat /proc/crypto | grep authencesn  # should return nothing (or still listed but module blacklisted)

> **महत्वपूर्ण:** Docker कंटेनर होस्ट कर्नेल साझा करते हैं। यह लैब **आपके होस्ट कर्नेल की** भेद्यता स्थिति का परीक्षण करती है। भेद्यता परिणाम वास्तविक होस्ट सिस्टम को दर्शाते हैं — यह यथार्थवादी मूल्यांकन के लिए जानबूझकर किया गया है।

किसी विशिष्ट भेद्य कर्नेल संस्करण के साथ अलग-थलग परीक्षण के लिए, पिन किए गए कर्नेल के साथ एक समर्पित VM का उपयोग करें। VM सेटअप मार्गदर्शन के लिए `lab/README.md` देखें।

---

## 8. संदर्भ

| संसाधन | लिंक |
|----------|------|
| NVD सलाह | https://nvd.nist.gov/vuln/detail/CVE-2026-31431 |
| मूल शोध | https://copy.fail |
| तकनीकी विवरण | https://xint.io/blog/copy-fail-linux-distributions |
| सार्वजनिक PoC | https://github.com/theori-io/copy-fail-CVE-2026-31431 |
| CISA KEV कैटलॉग | https://www.cisa.gov/known-exploited-vulnerabilities-catalog |
| कर्नेल फिक्स — रिवर्ट कमिट | `a664bf3d603d` / `fafe0fa2995a` |
| भेद्य कमिट | `72548b093ee3` |
| Microsoft Defender सलाह | Microsoft Defender Threat Intelligence ब्लॉग |

---

## रिपॉजिटरी संरचना```
cve-2026-31431/
├── README.md                          ← This document
├── exploit/
│   ├── README.md                      ← Technical exploit breakdown
│   └── poc.py                         ← Public PoC (theori-io, for reference)
├── detection/
│   ├── README.md                      ← Detection guide
│   ├── check_vulnerable.sh            ← Vulnerability & IoC detection script
│   └── yara/
│       ├── cve_2026_31431_base.yar    ← Detects known public PoC
│       └── cve_2026_31431_enhanced.yar ← Detects obfuscated/compiled variants
├── patch/
│   ├── README.md                      ← Remediation guide
│   └── patch.sh                       ← Automated patch/mitigation script
└── lab/
    ├── README.md                      ← Lab setup guide
    ├── Dockerfile                     ← Alpine-based lab container
    └── docker-compose.yml             ← Lab orchestration