🔴 CVE-2026-31431 — Copy Fail

Linux 커널 로컬 권한 상승 (LPE) — 방어적 연구 저장소

📖 소개

**Copy Fail (CVE-2026-31431)**은 AF_ALG, splice(), authencesn 메커니즘을 통한 page cache의 제어된 손상을 이용하여 리눅스 커널에 영향을 미치는 로컬 권한 상승(LPE) 유형의 취약점입니다.

이 저장소의 목적은 다음과 같습니다:

• 취약점의 내부 메커니즘 문서화,
• 악용 논리 체인 설명,
• 방어적 영향 제시,
• 탐지 전략 제안,
• 완화 조치 제공,
• 리눅스 커널 보안에 대한 인식 제고.

⚠️ 이 프로젝트는 엄격히 교육적·방어적 목적이며 보안 연구를 위한 것입니다.

📑 목차

• 개요
• 취약점 메커니즘
• 공격 표면
• 실험실 데모
• 탐지 및 IOC
• 완화 조치
• 타임라인
• 참고 자료
• 법적 고지

🧪 연구 프레임워크

이 저장소에 제시된 모든 데모는 격리되고 통제된 실험실 환경에서 수행되었습니다.

명시적 허가 없이 타사 시스템에서의 사용은 허용되지 않습니다.

🔍 개요

🧠 이 취약점이 중요한 이유

다음과 비교 가능:

• Dirty Cow (CVE-2016-5195)
• Dirty Pipe (CVE-2022-0847)
• 최신 Page Cache 손상 프리미티브

🧬 공격 체인의 단순화된 개요

User Space
    ↓
AF_ALG Socket
    ↓
splice()
    ↓
Page Cache Reference
    ↓
authencesn In-Place Write
    ↓
Controlled 4-Byte Overwrite
    ↓
execve()
    ↓
Privilege Escalation

⚙️ 취약점 메커니즘

기술 연대기

2011 → authencesn ajouté au kernel
2015 → AF_ALG reçoit le support AEAD + splice()
2017 → Optimisation in-place dans algif_aead.c
2026 → Découverte et correctif officiel

🔩 관련 구성 요소

AF_ALG

리눅스 커널의 암호화 프리미티브를 userspace에 노출하는 소켓 인터페이스.

splice()

파일 디스크립터 간 페이지를 복사 없이 전송할 수 있게 하는 메커니즘.

authencesn

대상(destination) 버퍼를 임시 작업 공간으로 사용하는 AEAD IPsec ESN 템플릿.

🧨 근본 원인

algif_aead.c에 도입된 최적화는 sg_chain()을 통해 page cache 페이지를 대상 scatterlist에 직접 연결(chaining)할 수 있게 했습니다.

Input SGL:   AAD || Ciphertext || Tag (page cache)
                                     ↑
Output SGL:  AAD || Ciphertext ------+

authencesn은 그런 다음 대상 파일의 page cache 페이지에 직접 씁니다.

🎯 공격 표면

🖥️ 영향을 받는 시스템

🧪 데모 (랩 전용)

⚠️ 격리된 테스트 환경 전용입니다.

사전 확인

uname -r
lsmod | grep algif_aead
python3 --version

PoC 클론

git clone https://github.com/theori-io/copy-fail-CVE-2026-31431.git
cd copy-fail-CVE-2026-31431

실행

python3 copy_fail_exp.py

🛡️ 탐지 및 IOC

Auditd

auditctl -a always,exit -F arch=b64 -S socket -F a0=38 -k af_alg_socket
auditctl -a always,exit -F arch=b64 -S splice -k splice_monitor

행동 기반 탐지

ps aux | awk '$1 == "root"'
ss -tlnp

방어적 모니터링

• eBPF 모니터링
• Falco
• Wazuh
• EDR 메모리 검사
• Page-cache 이상 탐지

🛡️ 완화 조치

algif_aead 비활성화

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead

seccomp 제한

{
  "defaultAction": "SCMP_ACT_ALLOW",
  "syscalls": [
    {
      "names": ["socket"],
      "action": "SCMP_ACT_ERRNO",
      "args": [
        { "index": 0, "value": 38, "op": "SCMP_CMP_EQ" }
      ]
    }
  ]
}

✅ 공식 패치

a664bf3d603d 패치는 algif_aead.c의 취약한 in-place 연산을 제거합니다.

sudo apt update && sudo apt upgrade
sudo reboot

📅 타임라인

🔗 참고 자료

📈 SEO / 키워드

linux kernel security, CVE-2026-31431, copy fail, page cache, AF_ALG, authencesn, linux LPE, kernel exploit, linux hardening, security research, dirty pipe, kernel mitigation

⚖️ 법적 고지

이 저장소는 다음 용도로만 사용됩니다:

• 방어적 연구,
• 승인된 실험실,
• 사이버보안 교육,
• 리눅스 보안 분석.

허가되지 않은 사용은 불법입니다.

👤 크레딧

원본 연구

• theori.io
• 리눅스 보안 연구 커뮤니티

프랑스어권 프로젝트

• @Maxime288

⭐ 리눅스 커널 보안 연구 지원

🛡️ 인식 제고 • 완화 • 방어적 연구
🔁 사이버보안 커뮤니티와 프로젝트를 공유하세요
⭐ 리눅스 보안 연구를 지원하세요

---