CVE-2026-31431-Copy-Fail-add-arm64

Panoramica della vulnerabilità

Principio della vulnerabilità

Nel 2017, nel modulo crittografico algif_aead del kernel è stata introdotta un'ottimizzazione di crittografia in-place. Questa ottimizzazione ha causato l'inserimento errato delle pagine della page-cache in un scatterlist di destinazione scrivibile. Un attaccante, combinando il socket AF_ALG con la syscall splice(), può scrivere dati nella page cache di file arbitrari (inclusi file di sola lettura di proprietà di root).

Catena di attacco: socket AF_ALG → splice() → primitiva di scrittura nella page-cache → manomissione della page cache di un binario setuid → esecuzione del file per ottenere privilegi di root

Caratteristiche dell'attacco:

• Nessuna condizione di gara (non è una race condition, ma un difetto logico diretto)
• Nessuna necessità di funzionalità di debug del kernel
• Nessuna necessità di adattamento a offset specifici dell'architettura
• Lo script di exploit generico è di soli ~732 byte ed è efficace su tutte le principali distribuzioni

Ambito di impatto

Distribuzioni verificate come vulnerabili

Anche Debian, Arch, Fedora, Rocky, Alma, Oracle e altre distribuzioni con lo stesso intervallo di kernel sono vulnerabili.

Intervallo di versioni kernel vulnerabili

Tutti i kernel con versione inferiore alle seguenti versioni corrette sono vulnerabili:

Metodi di verifica

1. Controllare la versione del kernel

uname -r

Confrontare l'output con le versioni corrette nella tabella precedente: se la versione è inferiore, il sistema è vulnerabile.

2. Controllare le connessioni AF_ALG

# Verificare se ci sono connessioni AF_ALG attive
lsof | grep AF_ALG

# Verificare lo stato dei socket AF_ALG
ss -xa | grep alg

3. Verificare se il modulo algif_aead è caricato

lsmod | grep algif_aead

Se c'è output, il modulo è caricato e il sistema è a rischio di sfruttamento.

4. Verifica della vulnerabilità (solo in ambienti di test autorizzati)

# Clonare il repository del PoC
git clone https://github.com/cx330zer0/CVE-2026-31431-Copy-Fail-add-arm64.git
cd CVE-2026-31431-Copy-Fail-add-arm64

# Eseguire il PoC (richiede un utente non privilegiato)
python3 copy-fail-dual-arch.py

Se il PoC ottiene con successo una shell di root, il sistema è vulnerabile.