CVE-2026-31431 — Copy Fail

中文版

732 Bytes até Root em Todas as Principais Distribuições Linux

CVE-2026-31431 (Copy Fail) é um bug lógico no template criptográfico authencesn do kernel Linux. Ele permite que um usuário local sem privilégios acione uma escrita determinística e controlada de 4 bytes no page cache de qualquer arquivo legível do sistema.

Visão Geral

• ID CVE: CVE-2026-31431
• Tipo: Escalação Local de Privilégios / Escape de Contêiner
• Afetados: Kernels Linux com CONFIG_CRYPTO_AUTHENC (praticamente todas as principais distros desde 2017)
• Descoberto por: Xint Code Research Team, com percepção inicial do pesquisador da Theori, Taeyang Lee

Como Funciona

O bug encadeia dois comportamentos:

1. AF_ALG + splice: splice() transfere páginas do page cache por referência para o scatterlist de um socket AF_ALG. No modo in-place de descriptografia AEAD, as páginas de tag (do page cache do arquivo alvo) permanecem encadeadas ao scatterlist de saída via sg_chain().

2. Escrita de rascunho do authencesn: crypto_authenc_esn_decrypt() usa dst[assoclen + cryptlen] (além da tag, dentro das páginas do page cache) como espaço de rascunho para a reorganização do número de sequência ESN, escrevendo 4 bytes controlados pelo atacante e nunca os restaurando.

A página corrompida nunca é marcada como suja, portanto o arquivo em disco permanece inalterado. Mas o page cache em memória é o que realmente é lido — tornando a corrupção imediatamente visível em todo o sistema.

Exploit

O exploit corrompe o page cache de /usr/bin/su (ou qualquer binário setuid) com um pequeno payload de shellcode, 4 bytes por vez. Após todas as iterações, executar su executa o payload e concede um shell root.

Python (exp.py)

python3 exp.py

Golang (exp.go)

go run exp.go
go build -ldflags "-w -s" -trimpath -o exp exp.go

tinygo build -o exp exp.go

Impacto

Referências

• copy.fail — Aviso Oficial
• Xint Blog — Copy Fail: 732 Bytes até Root
• Entrada NVD
• reescrita em C

Aviso Legal

Este repositório é publicado apenas para fins educacionais e de pesquisa defensiva. Não use este código em sistemas que você não possui ou para os quais não tenha permissão explícita de teste.