🔴 CVE-2026-31431 — Copy Fail

Repository di Ricerca Difensiva per l'Escalation dei Privilegi Locali (LPE) del Kernel Linux

📖 Presentazione

Copy Fail (CVE-2026-31431) è una vulnerabilità di tipo Local Privilege Escalation (LPE) che colpisce il kernel Linux attraverso una corruzione controllata della page cache tramite i meccanismi AF_ALG, splice() e authencesn.

Questo repository ha l'obiettivo di:

• documentare il meccanismo interno della vulnerabilità,
• spiegare la catena logica di sfruttamento,
• presentare gli impatti difensivi,
• proporre strategie di rilevamento,
• fornire misure di mitigazione,
• sensibilizzare sulla sicurezza del kernel Linux.

⚠️ Questo progetto è strettamente educativo, difensivo e destinato alla ricerca sulla sicurezza.

📑 Sommario

• Panoramica
• Meccanismo della falla
• Superficie d'attacco
• Dimostrazione in laboratorio
• Rilevamento e IOC
• Mitigazioni
• Cronologia
• Riferimenti
• Avviso legale

🧪 Quadro di Ricerca

Tutte le dimostrazioni presentate in questo repository sono state effettuate in ambienti di laboratorio isolati e controllati.

Nessun utilizzo su sistemi di terze parti senza esplicita autorizzazione è consentito.

🔍 Panoramica

🧠 Perché questa falla è importante

Paragonabile a:

• Dirty Cow (CVE-2016-5195)
• Dirty Pipe (CVE-2022-0847)
• Modern Page Cache Corruption Primitives

🧬 Vista Semplificata della Catena

User Space
    ↓
AF_ALG Socket
    ↓
splice()
    ↓
Page Cache Reference
    ↓
authencesn In-Place Write
    ↓
Controlled 4-Byte Overwrite
    ↓
execve()
    ↓
Privilege Escalation

⚙️ Meccanismo della falla

Cronologia tecnica

2011 → authencesn aggiunto al kernel
2015 → AF_ALG riceve il supporto AEAD + splice()
2017 → Ottimizzazione in-place in algif_aead.c
2026 → Scoperta e patch ufficiale

🔩 Componenti coinvolti

AF_ALG

Interfaccia socket che espone le primitive crittografiche del kernel Linux allo spazio utente.

splice()

Meccanismo che permette il trasferimento di pagine senza copia tra file descriptor.

authencesn

Template AEAD IPsec ESN che utilizza il buffer di destinazione come spazio di lavoro temporaneo.

🧨 Causa Principale

L'ottimizzazione introdotta in algif_aead.c ha permesso il concatenamento diretto delle pagine della page cache nella scatterlist di destinazione tramite sg_chain().

Input SGL:   AAD || Ciphertext || Tag (page cache)
                                     ↑
Output SGL:  AAD || Ciphertext ------+

authencesn scrive quindi direttamente nelle pagine della page cache del file di destinazione.

🎯 Superficie d'attacco

🖥️ Sistemi interessati

🧪 Dimostrazione (Solo Lab)

⚠️ Riservato ad ambienti di test isolati.

Verifiche preliminari

uname -r
lsmod | grep algif_aead
python3 --version

Clonaggio del PoC

git clone https://github.com/theori-io/copy-fail-CVE-2026-31431.git
cd copy-fail-CVE-2026-31431

Esecuzione

python3 copy_fail_exp.py

🛡️ Rilevamento e IOC

Auditd

auditctl -a always,exit -F arch=b64 -S socket -F a0=38 -k af_alg_socket
auditctl -a always,exit -F arch=b64 -S splice -k splice_monitor

Rilevamento comportamentale

ps aux | awk '$1 == "root"'
ss -tlnp

Monitoraggio difensivo

• eBPF monitoring
• Falco
• Wazuh
• EDR memory inspection
• Page-cache anomaly detection

🛡️ Mitigazione

Disattivazione algif_aead

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead

Restrizione seccomp

{
  "defaultAction": "SCMP_ACT_ALLOW",
  "syscalls": [
    {
      "names": ["socket"],
      "action": "SCMP_ACT_ERRNO",
      "args": [
        { "index": 0, "value": 38, "op": "SCMP_CMP_EQ" }
      ]
    }
  ]
}

✅ Patch ufficiale

La patch a664bf3d603d rimuove l'operazione in-place vulnerabile in algif_aead.c.

sudo apt update && sudo apt upgrade
sudo reboot

📅 Cronologia

🔗 Riferimenti

📈 SEO / Keywords

linux kernel security, CVE-2026-31431, copy fail, page cache, AF_ALG, authencesn, linux LPE, kernel exploit, linux hardening, security research, dirty pipe, kernel mitigation

⚖️ Avviso legale

Questo repository è destinato esclusivamente a:

• ricerca difensiva,
• laboratori autorizzati,
• educazione alla cybersecurity,
• analisi della sicurezza Linux.

Qualsiasi utilizzo non autorizzato è illegale.

👤 Crediti

Ricerca originale

• theori.io
• comunità di ricerca sulla sicurezza Linux

Progetto francofono

• @Maxime288

⭐ Supporta la Ricerca sulla Sicurezza del Kernel Linux

🛡️ Consapevolezza • Mitigazione • Ricerca Difensiva
🔁 Condividi il progetto con la comunità della cybersecurity
⭐ Supporta la ricerca sulla sicurezza Linux

---