2026년 3월      → Theori 연구원들이 커널에서 비정상적인 동작 식별
2026년 3월      → 커널 보안 팀에 책임 있는 공개 (Responsible Disclosure)
약 1주일 후 → kernel.org에서 업스트림 패치 제공
2026년 5월       → 익스플로잇 코드 (PoC) 공개
2026/05/01      → Microsoft 기술 분석 게시
2026/05/04      → CISA가 KEV 카탈로그 (Known Exploited Vulnerabilities)에 추가
2026/05/15      → 미국 연방 기관 수정 기한

┌─────────────────────────────────────┐
│           USERSPACE                 │
│   공격자 프로세스 (uid=1000)   │
│   → 악의적인 syscall 호출         │
└────────────────┬────────────────────┘
                 │ syscall
                 ▼
┌─────────────────────────────────────┐
│           KERNELSPACE               │
│   데이터 복사 루틴          │
│   → BUG: 메타데이터 복사 실패  │
│   → 제어 구조 손상  │
│   → 공격자가 포인터 조작      │
│   → root로 코드 실행        │
└─────────────────────────────────────┘

// 취약한 버전 (단순화, 교육용)
int kernel_copy_data(struct user_request *req) {
    struct kernel_buffer kbuf;
    
    // BUG: 데이터의 일부만 복사하고 중요한 필드는 무시합니다
    // 보안 필드(security_context)가 복사되지 않습니다!
    memcpy(&kbuf.data, req->data, req->size);
    // → kbuf.security_context는 초기화되지 않은 상태로 유지됩니다 (메모리 쓰레기)
    
    process_buffer(&kbuf); // 손상된 데이터 사용
    return 0;
}

// 수정된 버전
int kernel_copy_data(struct user_request *req) {
    struct kernel_buffer kbuf;
    
    // FIX: 보안 필드를 포함한 전체 struct를 복사합니다
    if (copy_from_user(&kbuf, req, sizeof(struct kernel_buffer)))
        return -EFAULT;
    
    process_buffer(&kbuf);
    return 0;
}

인터넷 → [웹 취약점을 통한 RCE] → 제한된 셸 → [CopyFail] → root

# 필요한 도구
sudo apt install -y git build-essential libssl-dev bc flex bison

# 현재 커널 버전 확인
uname -r

# 취약한 범위(≤ 7.0)에 있는지 확인
# 취약한 출력 예: 6.8.0-51-generic

# 1. 격리된 VM 생성 (권장: VirtualBox 또는 QEMU)
# Ubuntu 24.04 또는 Debian Bookworm ISO 사용

# 2. VM이 프로덕션 인터넷에 액세스할 수 없는지 확인
# (host-only 네트워크 또는 격리된 NAT 사용)

# 3. 공격자를 시뮬레이션할 권한 없는 사용자 생성
sudo adduser testuser
su - testuser

# 4. testuser에게 sudo가 없는지 확인
sudo whoami  # 반환값: "testuser is not in the sudoers file"

# 확인 스크립트 (악용하지 않고 확인만)
#!/bin/bash

KERNEL_VERSION=$(uname -r | cut -d. -f1,2)
MAJOR=$(echo $KERNEL_VERSION | cut -d. -f1)
MINOR=$(echo $KERNEL_VERSION | cut -d. -f2)

echo "[*] 감지된 커널: $(uname -r)"

if [ "$MAJOR" -lt 7 ] || ([ "$MAJOR" -eq 7 ] && [ "$MINOR" -eq 0 ]); then
    echo "[!] CVE-2026-31431 (CopyFail)에 잠재적으로 취약"
    echo "[!] 배포판 공급업체가 패치를 적용했는지 확인하세요"
else
    echo "[+] 커널 버전이 영향을 받는 범위를 벗어남"
fi

# 패치가 적용되었는지 확인 (패키지 변경 로그를 통해)
apt changelog linux-image-$(uname -r) 2>/dev/null | grep -i "CVE-2026-31431" && \
    echo "[+] 변경 로그에서 CVE-2026-31431 패치 발견" || \
    echo "[?] 변경 로그에서 패치가 감지되지 않음 — 수동으로 확인하세요"

#!/usr/bin/env python3
"""
CVE-2026-31431 (CopyFail) — 교육용 표현
목적: 공격적/방어적 보안 교육
승인 없이 시스템에서 사용하지 마십시오
"""

import ctypes
import os
import sys

def check_environment():
    """랩 환경에 있는지 확인"""
    kernel = os.uname().release
    print(f"[*] 커널: {kernel}")
    print(f"[*] 현재 UID: {os.getuid()}")
    
    if os.getuid() == 0:
        print("[-] 이미 root입니다. 익스플로잇이 필요하지 않습니다.")
        sys.exit(0)

def demonstrate_concept():
    """
    공격 벡터의 개념적 데모:
    
    1. 취약한 syscall 식별
    2. 불완전한 복사를 트리거하는 페이로드 구성
    3. 메모리 손상 모니터링
    4. 권한 상승을 위해 흐름 리디렉션
    
    실제 익스플로잇에서:
    - 공격자는 힙 스프레이 또는 ROP 체인과 같은 기술을 사용합니다
    - 손상과 손상된 데이터 사용 사이의 창을 악용합니다
    - 프로세스 자격 증명을 덮어씁니다 (uid → 0)
    """
    print("[*] 개념: 결함이 있는 복사 루틴 트리거")
    print("[*] 개념: kernel_buffer struct 손상 모니터링")
    print("[*] 개념: 실행 흐름 리디렉션")
    print("[*] 참조: https://xint.io/blog/copy-fail-linux-distributions")

def main():
    check_environment()
    demonstrate_concept()
    print("\n[i] 전체 기술 분석은 다음을 참조하세요:")
    print("    → https://xint.io/blog/copy-fail-linux-distributions")
    print("    → https://www.microsoft.com/en-us/security/blog/2026/05/01/cve-2026-31431-copy-fail-vulnerability-enables-linux-root-privilege-escalation/")

if __name__ == "__main__":
    main()

# 별도 터미널에서 커널 로그 모니터링
sudo dmesg -w | grep -E "(oops|panic|null pointer|exploit|cve)"

# 시스템 호출 모니터링
sudo strace -e trace=all -p <PID_DO_PROCESSO>

# 실시간 UID 변경 확인
watch -n 0.5 'cat /proc/self/status | grep -E "^(Uid|Gid)"'

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y linux-image-generic
sudo reboot

# 재부팅 후 버전 확인
uname -r

# Red Hat / CentOS / Amazon Linux
sudo dnf update -y kernel
sudo reboot

# SUSE
sudo zypper update -t package kernel-default
sudo reboot

# 설치된 커널의 변경 로그 확인
apt changelog linux-image-$(uname -r) | grep CVE-2026-31431

# Ubuntu CVE 추적기를 통해
# https://ubuntu.com/security/CVE-2026-31431

# Red Hat CVE 데이터베이스를 통해
# https://access.redhat.com/security/cve/CVE-2026-31431

# SUID 바이너리 실행 제한 (공격 표면 축소)
find / -perm -4000 -type f 2>/dev/null

# 의심스러운 syscall 감사 활성화
sudo auditctl -a always,exit -F arch=b64 -S all -k syscall_audit

# 권한 상승 시도 모니터링
sudo apt install -y auditd
sudo auditctl -w /etc/passwd -p wa -k passwd_changes
sudo auditctl -w /etc/sudoers -p wa -k sudoers_changes

# 커널 보호 활성화
# /etc/sysctl.conf — 다음 추가:
kernel.dmesg_restrict = 1
kernel.kptr_restrict = 2
kernel.perf_event_paranoid = 3
kernel.unprivileged_bpf_disabled = 1
net.core.bpf_jit_harden = 2

# 적용
sudo sysctl -p

# 가능한 악용 징후:

# 1. root로 실행되는 일반 사용자 프로세스
ps aux | awk '$1 != "root" && $2 == "0"'

# 2. 최근에 생성된 새 SUID 바이너리
find / -perm -4000 -newer /etc/passwd -type f 2>/dev/null

# 3. /etc/passwd의 의심스러운 항목
grep "uid=0" /etc/passwd

# 4. 손상 메시지가 있는 커널 로그
dmesg | grep -iE "(oops|BUG:|corruption|cve)"

# 5. 승인되지 않은 네트워크 연결
ss -tulnp | grep LISTEN