CVE-2026-31431 — कॉपी फेल

लोकल प्रिविलेज एस्केलेशन Linux कर्नेल के authencesn क्रिप्टोग्राफिक टेम्पलेट में AF_ALG + splice() के माध्यम से।
29 अप्रैल 2026 को Theori (Xint Code) द्वारा खुलासा किया गया।

अवलोकन

भेद्यता सारांश

कर्नेल के authencesn AEAD रैपर में एक तर्क दोष एक अनप्रिविलेज्ड स्थानीय उपयोगकर्ता को सिस्टम पर किसी भी पठनीय फ़ाइल के पेज कैश में एक निर्धारित, नियंत्रित 4-बाइट लेखन करने की अनुमति देता है — जिसमें setuid बाइनरी जैसे /usr/bin/su शामिल हैं।

मूल कारण 2017 का इन-प्लेस प्रोसेसिंग ऑप्टिमाइज़ेशन है जिसने पेज कैश पेजों को एक लिखने योग्य स्कैटरलिस्ट में रखा। authencesn एल्गोरिदम विस्तारित अनुक्रम संख्या पुनर्व्यवस्था के दौरान अपने इच्छित आउटपुट क्षेत्र के बाहर 4 बाइट्स स्क्रैच डेटा लिखता है। ऑप्टिमाइज़ेशन द्वारा पेश की गई स्कैटरलिस्ट संरचना के कारण, वे 4 बाइट्स splice() के माध्यम से फीड की गई फ़ाइल के पेज कैश में पहुँच जाते हैं — फ़ाइल अनुमतियों को पूरी तरह से बायपास करते हुए।

कोई रेस कंडीशन नहीं। कोई पुनः प्रयास नहीं। कोई क्रैश जोखिम नहीं। सभी परीक्षण किए गए वितरणों पर निर्धारित।

पूर्व कला से तुलना

प्रभावित संस्करण

कमजोर: Linux कर्नेल 4.14 से 6.18.21 और 6.19.x से पहले 6.19.12।

इस श्रेणी में कर्नेल भेजने वाले सभी प्रमुख वितरण प्रभावित हैं, जिनमें शामिल हैं:

प्रभावित नहीं: Ubuntu 26.04 (Resolute) और बाद के संस्करण।

शमन

विकल्प 1 — पैच (अनुशंसित)

मेनलाइन कमिट a664bf3d603d वाले कर्नेल में अपडेट करें, जो 2017 के इन-प्लेस ऑप्टिमाइज़ेशन को वापस लेता है।

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y && sudo reboot

# RHEL / AlmaLinux / Amazon Linux
sudo dnf clean metadata && sudo dnf upgrade && sudo reboot

# SUSE
sudo zypper refresh && sudo zypper update kernel-default && sudo reboot

विकल्प 2 — algif_aead अक्षम करें (अस्थायी)

यदि तुरंत पैच करना संभव नहीं है, तो हमले की सतह को बंद करने के लिए कमजोर मॉड्यूल को अक्षम करें।

RHEL-परिवार प्रणालियों के लिए नोट: RHEL/AlmaLinux/CentOS पर algif_aead कर्नेल में निर्मित है (CONFIG_CRYPTO_USER_API_AEAD=y)। modprobe.d वर्कअराउंड इन प्रणालियों पर काम नहीं करता। इसके बजाय initcall_blacklist विधि का उपयोग करें।

Debian/Ubuntu (मॉड्यूल लोड करने योग्य है):

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

RHEL-परिवार (कर्नेल में निर्मित — रिबूट की आवश्यकता है):

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

रिबूट के बाद पुष्टि करें:

grep initcall_blacklist /proc/cmdline

यह वर्कअराउंड किसे प्रभावित करता है

विकल्प 3 — seccomp (गहराई में रक्षा)

अविश्वसनीय वर्कलोड के लिए — कंटेनर, CI रनर, सैंडबॉक्स्ड वातावरण — पैच स्थिति की परवाह किए बिना seccomp नीति के माध्यम से AF_ALG सॉकेट निर्माण को ब्लॉक करें। यह कमजोर कर्नेल पर भी हमले की सतह को सीमित करता है।

पहचान

जाँचें कि क्या algif_aead वर्तमान में लोड है या उपयोग में है:

# जाँचें कि मॉड्यूल लोड है या नहीं
lsmod | grep algif_aead

# जाँचें कि किसी प्रक्रिया में AF_ALG सॉकेट खुला है या नहीं
lsof | grep AF_ALG
ss -xa | grep alg

रनटाइम डिटेक्शन सिग्नेचर Sysdig Secure में उपलब्ध हैं (नियम: AF_ALG Page Cache Poisoning Leading to Privilege Escalation)।

संदर्भ

खुलासा समयरेखा

लेखक

xD The Watcher — रेड टीमर, एथिकल हैकर और AI सुरक्षा शोधकर्ता
GitHub: @xd20111
ब्लॉग: yourhacker

नोट्स

यह रिपॉजिटरी शोध और रक्षात्मक उद्देश्यों के लिए भेद्यता का दस्तावेजीकरण करती है। आधिकारिक तकनीकी राइटअप और आधिकारिक PoC के लिए, ऊपर लिंक किए गए Theori के खुलासे का संदर्भ लें।

यदि आपके खतरे के मॉडल में साझा-कर्नेल मल्टी-टेनेंसी शामिल है — साझा होस्ट पर कंटेनर, CI रनर, बिल्ड फार्म — तो पैच होने तक अलगाव सीमा अब काफी कमजोर है। हार्डवेयर या VM-स्तरीय अलगाव सही प्रतिक्रिया है, नेमस्पेस सीमाएँ नहीं।