CVE-2026-31431 — Copy Fail

Escalação de privilégios local no kernel Linux via AF_ALG + sobrescrita do page-cache com splice

Apenas para pesquisa de segurança autorizada, testes de penetração e fins educacionais. Não use contra sistemas que você não possui ou para os quais não tem permissão explícita por escrito para testar.

Writeup Técnico

---

Índice

• Descrição
• Detalhes da Vulnerabilidade
• Estrutura do Repositório
• Início Rápido
• Detecção
• Requisitos
• Mitigação
• Ambiente de Teste (opcional)
• Referências
• Licença

---

Descrição

CVE-2026-31431 é uma vulnerabilidade de escalação de privilégios local (LPE) no kernel Linux. Um usuário local sem privilégios pode obter acesso root combinando a interface de socket AF_ALG com splice() para realizar uma escrita autenticada diretamente em uma página do page-cache pertencente a um binário setuid.

O exploit sobrescreve o binário su no page-cache sem modificar o inode no disco, contornando mecanismos de integridade que dependem apenas de metadados de arquivo ou checksums em nível de bloco.

---

Detalhes da Vulnerabilidade

Campo	Valor
ID CVE	CVE-2026-31431
Tipo	Escalação de Privilégios Local (LPE)
Pontuação CVSS v3.1	7.8 Alta — AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (fonte: kernel.org)
Subsistemas do kernel	crypto/af_alg.c, mm/splice.c
Vetor de ataque	Local — requer conta de usuário sem privilégios
Causa raiz	algif_aead aceita sendfile() sobre um socket AEAD sem impor semânticas de copy-on-write na página do page-cache mapeada antes de splice() concluir a transferência

Ambientes Afetados

Distro	Versão do kernel	Arquitetura
Ubuntu 24.04 LTS	6.17.0-1007-aws	x86_64
Amazon Linux 2023	6.18.8-9.213.amzn2023	x86_64
RHEL 10.1	6.12.0-124.45.1.el10_1	x86_64
SUSE 16	6.12.0-160000.9-default	x86_64
Raspberry Pi OS (Pi 5)	6.12.75+rpt-rpi-2712	aarch64

---

Estrutura do Repositório

.
├── exploit.py    # PoC — sobrescrita do page-cache e escalação de privilégios
├── detect.bt     # Script BPFtrace para detecção em tempo real
├── run-vm.sh     # Automação de ambiente de teste QEMU (opcional)
├── PAYLOAD.md    # Análise de codificação do payload (hex → zlib → ELF → shellcode)
└── LICENSE

---

Início Rápido

Execute exploit.py como um usuário local sem privilégios em qualquer sistema vulnerável — não é necessário sudo:

python3 exploit.py

O script executa os seguintes passos:

1. Verifica o suporte do kernel para AF_ALG (algif_aead) e localiza o binário su.
2. Seleciona e descomprime o payload apropriado para a arquitetura.
3. Abre o binário su como um descritor de arquivo bruto e sobrescreve suas páginas do page-cache via AF_ALG + sendfile.
4. Testa a escalação de privilégios. Se bem-sucedida, abre um shell root.

Arquiteturas suportadas:

Arquitetura	Variantes
x86_64	—
aarch64	—
riscv64	—
ppc64le	—
arm	armv5l, armv6l, armv7l
x86 32-bit	i386, i486, i586, i686
MIPS 64-bit	mips64, mips64el
LoongArch	loong64, loongarch64
s390x	—

---

Detecção

Monitore tentativas de exploração em tempo real com detect.bt. Requer root:

sudo bpftrace detect.bt
# ou
doas bpftrace detect.bt

O script rastreia três indicadores por PID usando uma máscara de bits em @suspect[pid]:

Bit	Syscall	Indicador
0x1	socket(AF_ALG, SOCK_SEQPACKET)	Socket AF_ALG criado
0x2	setsockopt(SOL_ALG, ...)	Operação criptográfica configurada
0x4	sendmsg(MSG_MORE) + splice()	Tentativa de sobrescrita do page-cache

Um alerta é disparado quando todos os três bits estão definidos (@suspect[pid] == 0x7) no mesmo PID.

---

Requisitos

exploit.py

• Python 3.6+
• Kernel Linux com o módulo AF_ALG/algif_aead carregado
• Conta de usuário local sem privilégios (root não é necessário)

detect.bt

• bpftrace ≥ 0.12
• Privilégios de root (necessários para rastreamento BPF)

# Ubuntu/Debian
sudo apt install bpftrace

# RHEL/CentOS/Fedora
sudo dnf install bpftrace

# Amazon Linux
sudo yum install bpftrace

# SUSE
sudo zypper install bpftrace

# Alpine
sudo apk add bpftrace

---

Mitigação

1. Patch (preferencial)

Atualize o pacote do kernel da sua distribuição para uma versão que inclua o commit da linha principal a664bf3d603d, que reverte a otimização in-place do algif_aead de 2017 para que páginas do page-cache não possam mais acabar no scatterlist de destino gravável. A maioria das grandes distribuições já está distribuindo a correção.

2. Desabilitar algif_aead (enquanto aguarda um patch)

O blacklist pode ser contornado com um modprobe algif_aead explícito. A diretiva install .../bin/false substitui completamente o comando de instalação, fazendo com que toda tentativa de carregamento falhe:

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

O que isso quebra — quase nada