CVE-2026-31431-Copy-Fail-add-arm64

Visão Geral da Vulnerabilidade

Princípio da Vulnerabilidade

Em 2017, o kernel introduziu uma otimização de criptografia in-place (in-place optimization) no módulo de criptografia algif_aead. Essa otimização fez com que páginas do page-cache fossem incorretamente colocadas em um scatterlist de destino gravável. Um atacante, combinando sockets AF_ALG com a chamada de sistema splice(), pode gravar dados no page cache de arquivos arbitrários (incluindo arquivos somente leitura de propriedade do root).

Cadeia de ataque: AF_ALG socket → splice() → primitiva de escrita no page-cache → adulteração do page cache de binários setuid → execução do arquivo para obter privilégios de root

Características do ataque:

• Sem condição de corrida (não é race condition, é um defeito lógico direto)
• Não requer recursos de depuração do kernel
• Não requer adaptação de offsets específicos de arquitetura
• Script de exploração genérico de apenas ~732 bytes, eficaz em todas as principais distribuições

Escopo Afetado

Distribuições Verificadas como Afetadas

Distribuições como Debian, Arch, Fedora, Rocky, Alma, Oracle, entre outras, também são afetadas na mesma faixa de versões de kernel.

Faixa de Versões de Kernel Afetadas

Todas as versões de kernel inferiores às versões corrigidas abaixo estão afetadas:

Métodos de Verificação

1. Verificar a versão do kernel

uname -r

Compare a saída com as versões corrigidas na tabela acima; se for inferior à versão corrigida, o sistema está afetado.

2. Verificar conexões AF_ALG

# Verificar se há conexões AF_ALG ativas
lsof | grep AF_ALG

# Verificar o status dos sockets AF_ALG
ss -xa | grep alg

3. Verificar se o módulo algif_aead está carregado

lsmod | grep algif_aead

Se houver saída, o módulo está carregado e existe risco de exploração.

4. Validação da vulnerabilidade (somente em ambientes de teste autorizados)

# Clonar o repositório do PoC
git clone https://github.com/cx330zer0/CVE-2026-31431-Copy-Fail-add-arm64.git
cd CVE-2026-31431-Copy-Fail-add-arm64

# Executar o PoC (requer usuário sem privilégios)
python3 copy-fail-dual-arch.py

Se o PoC obtiver um shell de root com sucesso, o sistema está vulnerável a essa falha.