권한 없는 사용자  ──►  AF_ALG + splice()  ──►  4바이트 페이지 캐시 쓰기  ──►  ROOT

AF_ALG (사용자 공간 암호화 API)
└── algif_aead 모듈
    └── authencesn 템플릿  ◄── 취약
        └── 인플레이스 최적화 (2017)
            └── req->src == req->dst  ◄── splice()의 페이지가 쓰기 가능한 dst scatterlist에 체인됨

1단계: AF_ALG AEAD 소켓 열기
        socket(AF_ALG, SOCK_SEQPACKET, 0)

2단계: 대상 파일을 참조하는 splice() 페이지 전송
        (권한 있는 바이너리의 페이지 캐시 페이지, 예: /usr/bin/sudo)

3단계: authencesn 스크래치 쓰기 트리거
        authencesn이 dst 버퍼를 스크래치 패드로 사용 →
        합법적인 출력 영역을 넘어 4개의 제어된 바이트 쓰기

4단계: 대상 파일의 페이지 캐시 항목이 손상됨
        (디스크 파일은 그대로 — 메모리 내 복사본만 수정됨)

5단계: 수정된 바이너리 실행 → ROOT

# Fixed in commit: a664bf3d603d
git show a664bf3d603d

CVE-2026-31431-CopyFail/
│
├── 📄 README.md                          ← 현재 위치
├── 📄 LICENSE                            ← 연구/교육 라이선스
├── 📄 DISCLAIMER.md                      ← 법적 및 윤리적 사용 정책
├── 📄 CHANGELOG.md                       ← 버전 기록
│
├── 📂 docs/
│   ├── vulnerability-analysis.md         ← 심층 분석: 근본 원인 및 메커니즘
│   ├── exploitation-walkthrough.md       ← 단계별 방법론
│   ├── affected-kernels.md               ← 전체 커널/배포판 버전 매트릭스
│   ├── detection.md                      ← Defender, Tenable, Wazuh 적용 범위
│   └── references.md                     ← 모든 CVE, 블로그, 권고문
│
├── 📂 exploit/
│   ├── README.md                         ← 사용법, 전제 조건, 테스트된 배포판
│   ├── copyfail.py                       ← 참조 PoC (교육용)
│   ├── trigger.c                         ← AF_ALG + splice() C 트리거
│   └── variants/
│       ├── ubuntu.py                     ← Ubuntu 전용 변종
│       ├── rhel.py                       ← RHEL/CentOS 변종
│       └── amazon_linux.py              ← Amazon Linux 변종
│
├── 📂 detection/
│   ├── yara/
│   │   └── copyfail.yar                  ← 익스플로잇 아티팩트용 YARA 규칙
│   ├── sigma/
│   │   └── copyfail_lpe.yml              ← SIEM/SOC용 Sigma 규칙
│   └── scripts/
│       ├── check_vulnerable.sh           ← 빠른 커널 취약점 확인
│       └── detect_algif_aead.sh         ← 모듈 로드/활성 여부 확인
│
├── 📂 mitigation/
│   ├── README.md                         ← 완화 개요
│   ├── disable_algif_aead.sh             ← 영향받는 커널 모듈 비활성화
│   ├── patch-notes.md                    ← 상류 패치 세부 정보
│   └── kubernetes-hardening.md          ← K8s / 컨테이너 강화
│
├── 📂 lab/
│   ├── Vagrantfile                       ← 재현 가능한 취약 VM
│   ├── setup.sh                          ← 연구실 부트스트랩 스크립트
│   └── docker/
│       └── Dockerfile                    ← 취약한 Ubuntu 컨테이너
│
├── 📂 reports/
│   ├── pentest-report-template.md        ← 클라이언트용 보고서 템플릿
│   └── sample-finding.md                ← 샘플 발견 사항 작성
│
└── 📂 assets/
    ├── demo.gif                          ← (선택 사항) 터미널 데모
    └── diagrams/
        └── page-cache-write.png         ← 공격 흐름 다이어그램

# 저장소 복제
git clone https://github.com/0xFuffM3/CVE-2026-31431-CopyFail.git
cd CVE-2026-31431-CopyFail

# 취약한 연구실 VM 시작
cd lab/
vagrant up

# 연구실에 SSH 접속
vagrant ssh

# 커널 버전 확인 (취약해야 함)
uname -r

cd lab/docker/

# 취약한 컨테이너 이미지 빌드
docker build -t copyfail-lab .

# 커널 상호작용을 위한 필수 권한으로 실행
docker run --rm -it --privileged copyfail-lab /bin/bash

# 빠른 확인 스크립트 실행
chmod +x detection/scripts/check_vulnerable.sh
./detection/scripts/check_vulnerable.sh

[!] Kernel version: 5.15.0-91-generic
[!] algif_aead module: LOADED
[✗] System appears VULNERABLE to CVE-2026-31431 (Copy Fail)
[*] Recommended action: Apply kernel update or disable algif_aead

[✓] Kernel version: 6.1.132
[✓] System appears PATCHED against CVE-2026-31431 (Copy Fail)

# Python 3.6+
python3 --version

# 필수 커널 모듈 존재
lsmod | grep algif_aead

# 대상 바이너리가 읽기 가능한지 확인
ls -la /usr/bin/sudo

cd exploit/

# 현재 권한 수준 확인
id
# uid=1000(user) gid=1000(user) groups=1000(user)

# Copy Fail PoC 실행
python3 copyfail.py

# 권한 상승 확인
id
# uid=0(root) gid=0(root) groups=0(root)

1. 커널 버전 열거
   └─► uname -r / cat /proc/version

2. algif_aead 로드 확인
   └─► lsmod | grep algif_aead

3. 낮은 권한 진입 확인
   └─► id / whoami

4. Copy Fail PoC 실행
   └─► python3 exploit/copyfail.py

5. 루트 접근 확인
   └─► id && cat /etc/shadow

6. 증거 문서화
   └─► 스크린샷 + 커널 버전, 배포판, 익스플로잇 해시 로깅

7. 완화 적용 (테스트 후)
   └─► sudo bash mitigation/disable_algif_aead.sh

8. 침투 테스트 보고서에 포함
   └─► reports/pentest-report-template.md 사용

// detection/yara/copyfail.yar
rule CopyFail_CVE_2026_31431 {
    meta:
        description = "Detects Copy Fail (CVE-2026-31431) exploit artefacts"
        author      = "0xFuffM3"
        date        = "2026-04-30"
        reference   = "https://copy.fail"
    strings:
        $py1 = "algif_aead" ascii
        $py2 = "AF_ALG" ascii
        $py3 = "splice" ascii
        $py4 = "page_cache" ascii
        $py5 = "authencesn" ascii
    condition:
        3 of them
}

yara detection/yara/copyfail.yar /tmp/ -r

# detection/sigma/copyfail_lpe.yml
title: Copy Fail LPE Exploit Execution (CVE-2026-31431)
status: stable
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        CommandLine|contains:
            - 'AF_ALG'
            - 'algif_aead'
            - 'authencesn'
    condition: selection
falsepositives:
    - Legitimate crypto API testing
level: high

chmod +x detection/scripts/detect_algif_aead.sh
./detection/scripts/detect_algif_aead.sh

# Ubuntu / Debian
sudo apt-get update && sudo apt-get upgrade linux-image-generic

# RHEL / CentOS
sudo yum update kernel

# Amazon Linux
sudo yum update kernel

# 업데이트 후 재부팅
sudo reboot

# 완화 스크립트 실행
chmod +x mitigation/disable_algif_aead.sh
sudo bash mitigation/disable_algif_aead.sh

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || echo "[*] Module not currently loaded"
echo "[✓] algif_aead disabled. Reboot to confirm persistence."

Finding:    Local Privilege Escalation via Copy Fail (CVE-2026-31431)
Severity:   HIGH (CVSS 7.8)
Host:       10.10.10.55 (ubuntu-prod-01)
Kernel:     5.15.0-91-generic

Evidence:
  - Unprivileged shell (uid=1000) escalated to root (uid=0)
  - Kernel module algif_aead confirmed loaded
  - No disk artefacts — page cache only

Recommendation:
  1. Apply vendor kernel patch immediately
  2. Interim: disable algif_aead module
  3. Review Kubernetes nodes and CI/CD runners