🔐 CVE-2026-31431 - Framework di Ricerca sullo Sfruttamento del Kernel

Framework modulare per lo studio di una vulnerabilità di escalation dei privilegi (LPE) su Linux basata su tecniche di AF_ALG + Page Cache Injection.

🎯 Obiettivo

Questo progetto è progettato per:

• Ricerca di vulnerabilità nel kernel Linux
• Insegnamento di tecniche reali di sfruttamento (LPE)
• Esecuzione di laboratori controllati di cybersecurity

⚙️ Cosa fa questo progetto?

Questo framework implementa una tecnica che consente di:

• Modificare il contenuto in memoria (page cache) dei binari SUID
• Alterarne il comportamento in fase di esecuzione
• Tentare di scalare i privilegi a root senza modificare il binario su disco

🧠 Come funziona la vulnerabilità?

Lo sfruttamento si basa sulla combinazione di molteplici meccanismi del kernel:

1. AF_ALG (Linux Crypto API)

Consente di interagire con algoritmi crittografici dallo spazio utente tramite socket speciali.

2. sendmsg() manipolato

Vengono inviate strutture appositamente costruite al kernel per provocare un comportamento inatteso.

3. splice()

Consente di trasferire dati tra descrittori di file direttamente nello spazio kernel (zero-copy).

4. Page Cache Injection

Si modifica il contenuto in memoria dei file senza alterare il file su disco.

✔️ Risultato: Il binario esegue codice modificato solo in memoria

🔥 Flusso di esecuzione

1. Rilevamento automatico del sistema (kernel, mitigazioni)
2. Selezione del binario SUID (es: /usr/bin/su)
3. Caricamento del payload
4. Suddivisione in chunk da 4 byte
5. Iniezione tramite AF_ALG + splice()
6. Alterazione del comportamento del binario
7. Esecuzione del binario modificato in memoria

🚀 Utilizzo

Esecuzione di base:

python3 main.py

Flusso previsto:

[+] Scansione del sistema...
[+] Kernel vulnerabile rilevato
[+] Target trovato: /usr/bin/su
[+] Iniezione del payload...
[+] Esecuzione completata

📌 Requisiti

• Sistema Linux potenzialmente vulnerabile
• Kernel senza patch associate
• Supporto per:

/proc/crypto   → AF_ALG
splice syscall → trasferimento nel kernel

• Permessi di lettura sui binari SUID

📁 Struttura del progetto

exploit/
 ├── core.py        # Motore di sfruttamento
 ├── payloads.py    # Gestione dei payload
 ├── targets.py     # Definizione dei target
 └── detectors.py   # Rilevamento della vulnerabilità

modules/
 ├── logger.py      # Logging strutturato
 ├── stealth.py     # Anti-rilevamento
 └── utils.py       # Utility

main.py             # Entry point

⚠️ Limitazioni

• ❌ Non è uno sfruttamento universale
• ❌ Dipende dalla versione esatta del kernel
• ❌ Basato su race conditions (non deterministico)

Può fallire se esistono mitigazioni come:

• SELinux (enforcing)
• AppArmor
• GRSecurity

🧪 Utilizzo consigliato

• Macchine virtuali
• Laboratori isolati
• Ambienti di testing controllati

👨‍🏫 Utilizzo didattico

Questo framework consente di insegnare:

• Sfruttamento del kernel
• Tecniche di escalation dei privilegi (LPE)
• Page Cache attacks
• Race conditions
• Interazione userland ↔ kernel

⚠️ Disclaimer

Questo progetto è esclusivamente per:

• Educazione
• Ricerca
• Ambienti controllati

❌ Non utilizzare su sistemi senza autorizzazione.

📜 Licenza

MIT License