Exploit Copy-Fail (CVE-2026-31431)

Exploit di escalation dei privilegi locale che sfrutta una vulnerabilità copy-on-write del kernel Linux tramite socket AF_ALG e operazioni splice.

Panoramica

Questo exploit abusa di una condizione di corruzione della memoria a livello di kernel nel sottosistema crittografico Linux (AF_ALG) combinata con meccanismi zero-copy (splice) per modificare un binario privilegiato in memoria.

Applicando una patch a /usr/bin/su a runtime, consente l'escalation a root senza richiedere credenziali valide.

Utilizzo

Compilare staticamente per poterlo usare in qualsiasi ambiente Linux senza bisogno di Python o librerie aggiuntive.

gcc -o exploit exploit.c -lz -static
./exploit

Come Funziona

1. Apre /usr/bin/su
2. Crea un socket AF_ALG AEAD
3. Innesca la corruzione della memoria del kernel tramite operazioni sui socket appositamente create
4. Usa le syscall splice() per la manipolazione della memoria zero-copy
5. Sovrascrive la logica di autenticazione in memoria
6. Esegue su con patch per ottenere una shell di root

Requisiti

• Versione del kernel Linux vulnerabile
• CONFIG_CRYPTO_USER_API_AEAD abilitato
• User namespaces consentiti
• Accesso alla shell locale

Rilevamento e Mitigazione

• Applicare la patch a una versione del kernel corretta quando disponibile

• Disabilitare gli user namespaces non privilegiati se non necessari:

  sysctl -w kernel.unprivileged_userns_clone=0

• Monitorare l'uso sospetto di:

  • Socket AF_ALG
  • Syscall splice()

• Applicare l'hardening del kernel (LSM, seccomp, ecc.)

Disclaimer

Solo per scopi educativi e di ricerca sulla sicurezza autorizzata.
L'uso non autorizzato di questo exploit potrebbe violare le leggi applicabili. Non possiedo il codice originale né sono stato io a scoprire la CVE.

Riferimento

• CVE: CVE-2026-31431
• Componente: Linux Kernel (AF_ALG / sottosistema crittografico)
• Classe: Use-After-Free / corruzione Copy-On-Write