CVE-2026-31431 "Copy Fail" — Laboratorio LPE del Kernel Linux

Panoramica

Questo repository documenta un'indagine di laboratorio completa su CVE-2026-31431 (Copy Fail), una vulnerabilità di escalation dei privilegi locali (LPE) ad alta gravità nel modulo crittografico algif_aead del kernel Linux, divulgata il 29 aprile 2026.

Punteggio CVSS: 7.8 (Alto)
Kernel di test: 6.18.12+kali-amd64
Data del laboratorio: 11 maggio 2026

Contenuti

Risultati Chiave

• Kernel 6.18.12+kali-amd64 confermato VULNERABILE
• algif_aead si carica automaticamente su richiesta — non presente a riposo
• La sovrascrittura della page-cache di /etc/passwd ha elevato uid=1000 → uid=0
• su kali fallito (PAM rivalida tramite loginuid)
• sudo -u root /bin/bash riuscito — ottenuta shell di root
• Zero tracce su disco — bypassato il monitoraggio dell'integrità dei file
• La direttiva blacklist è insufficiente — richiesto install /bin/false
• Mitigazione confermata efficace tramite rilevatore sicuro

Mitigazione

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true
modprobe -n -v algif_aead   # Verifica: dovrebbe mostrare "install /bin/false"

Versioni del kernel corrette: 6.18.22+ / 6.19.12+ / 7.0+

Disclaimer

Questo repository è esclusivamente per scopi di ricerca educativa e di sicurezza difensiva. Tutti i test sono stati eseguiti su una macchina virtuale isolata e di proprietà del ricercatore. Non utilizzare nessuno di questi strumenti contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione scritta a testare.