CVE-2026-31431 LPE PoC (Implementazione in Rust)

Questo progetto è una Proof of Concept (PoC) implementata in Rust per una vulnerabilità di escalation dei privilegi locale (LPE) (che simula CVE-2026-31431). Dimostra come manipolare la cache delle pagine del kernel Linux sfruttando la Crypto API.[cite: 1, 2]

[!CAUTION] Questo codice è destinato esclusivamente a scopi di ricerca sulla sicurezza etica e educativa. L'uso non autorizzato di questo strumento contro sistemi senza previo consenso esplicito è illegale. L'autore non si assume alcuna responsabilità per usi impropri o danni causati da questo programma.

Panoramica

Lo strumento sfrutta una vulnerabilità relativa a AF_ALG (interfaccia crittografica del kernel) e alla chiamata di sistema splice.[cite: 2] Consente a un utente non privilegiato di sovrascrivere 4 byte della cache delle pagine per un file di sola lettura, prendendo di mira specificamente il campo UID in /etc/passwd per modificarlo temporaneamente in 0000 (root).[cite: 1, 2]

Come Funziona

• Identificazione del Target: Il programma analizza main.rs per trovare l'offset esatto del file corrispondente all'UID dell'utente corrente all'interno di /etc/passwd.[cite: 1, 2]
• Riscaldamento della Cache delle Pagine: Legge il file di destinazione per garantire che la pagina rilevante venga caricata nella cache delle pagine del kernel.[cite: 2]
• Manipolazione della Memoria:
  • Inizializza un socket utilizzando AF_ALG con l'algoritmo authencesn(hmac(sha256),cbc(aes)).[cite: 2]
  • Creando con attenzione i parametri di setsockopt e utilizzando splice, reindirizza i dati del file attraverso la pipeline crittografica.[cite: 2]
  • La vulnerabilità consente al processo di "decrittazione" di sovrascrivere i dati originali della cache delle pagine con i 4 byte desiderati (0000).[cite: 2]
• Escalation dei Privilegi:
  • Se viene fornito il flag --shell, esegue su <user>, che ha successo perché il sistema ora vede l'UID dell'utente come 0 nella cache di /etc/passwd.[cite: 1]
  • In caso contrario, espelle la cache delle pagine corrotta utilizzando POSIX_FADV_DONTNEED per ripristinare l'integrità del sistema.[cite: 1]

Prerequisiti

• Sistema Operativo: Linux (in particolare versioni vulnerabili a questo comportamento della Crypto API).
• Linguaggio: Rust (Edizione 2024).[cite: 3]
• Dipendenze: libc e nix (con le funzionalità fs, socket, zerocopy e user).[cite: 3]

Utilizzo

Compilazione

cargo build --release

Esecuzione

Test del patching della cache delle pagine senza avviare una shell:

./target/release/cve-2026-31431

Tentativo di escalation a una shell di root:

./target/release/cve-2026-31431 --shell

Struttura del Progetto

• main.rs: Orchestra l'attacco, gestisce gli argomenti della CLI ed esegue il comando shell finale.[cite: 1]
• modules.rs: Contiene la logica principale dello sfruttamento, inclusa la manipolazione del socket AF_ALG e la ricerca dell'offset UID.[cite: 2]
• Cargo.toml: Definisce i metadati del progetto e le dipendenze dalle crate esterne.[cite: 3]

Riferimenti Tecnici

• File coinvolti: main.rs, modules.rs, Cargo.toml[cite: 1, 2, 3]
• Chiamate di sistema chiave: socket, bind, sendmsg, splice, posix_fadvise.[cite: 1, 2]