Detecção de COPY FAIL com Wazuh 4.14.4 - CVE-2026-31431

Engenharia de detecção para o LPE do kernel Copy Fail · Ubuntu / RHEL / SUSE / Amazon Linux 2023 / Kali

O que é Copy Fail?

CVE-2026-31431 é um bug lógico no template criptográfico authencesn do kernel Linux. Ele permite que qualquer usuário local sem privilégios realize uma gravação determinística e controlada de 4 bytes no cache de páginas de qualquer arquivo legível no sistema - sem exigir condições de corrida, offsets do kernel ou privilégios elevados.

Um script Python 3.10+ de 732 bytes usando apenas módulos da biblioteca padrão (os, socket, zlib) explora a vulnerabilidade para obter root em todas as principais distribuições Linux lançadas desde 2017.

O arquivo em disco permanece inalterado, tornando o monitoramento tradicional de integridade de arquivos (FIM) completamente cego.

Descoberto por Taeyang Lee (Theori / Xint) com a assistência da ferramenta de IA Xint Code.

Referências Oficiais

Por que o FIM Falha - Por que Este Repositório Existe

A gravação atinge apenas o cache de páginas em memória. O kernel nunca marca a página como suja, então o mecanismo de writeback nunca a persiste em disco. O binário em disco permanece byte a byte idêntico ao original.

Abordagem tradicional de FIM:
  ler arquivo do disco -> calcular hash -> comparar -> nenhuma anomalia relatada

Realidade do Copy Fail:
  arquivo em disco = INALTERADO
  cache de páginas = CORROMPIDO
  resultado do FIM = CEGO

A única detecção eficaz é comportamental, por meio do monitoramento de syscalls. Este repositório fornece regras Wazuh validadas em produção que detectam a cadeia de exploração no nível de syscalls do kernel.

Cadeia de Exploração

Passo 1: socket(38, 5, 0)       Socket AF_ALG - nenhum privilégio necessário
Passo 2: bind()                  Vincular ao authencesn - ativa o código vulnerável
Passo 3: sendmsg()               Criar payload AAD - bytes 4-7 = valor a gravar
Passo 4: splice()          [!]   GATILHO - páginas do cache de páginas entram no SGL gravável
Passo 5: recv()                  authencesn grava seqno_lo no cache de páginas
Passo 6: execve(/usr/bin/su)     Binário setuid corrompido executa shellcode como UID 0

splice() é o passo crítico. Ele entrega páginas do cache de páginas no scatterlist gravável do socket AF_ALG sem cópia - uma otimização in-place de 2017 em algif_aead.c que tornou páginas do buffer do pipe reutilizáveis no SGL de destino. Quando authencesn.decrypt() é executado, ele grava nessas páginas, que por acaso são o cache de páginas do seu arquivo alvo.

Distribuições Afetadas

Todas as distribuições Linux que fornecem kernels desde o commit 72548b093ee3 (2017) são afetadas.

Escape de contêiner: Copy Fail também é um vetor de escape de contêiner. O cache de páginas é compartilhado entre todos os processos do host, inclusive através dos limites dos contêineres. A Parte 2 da Xint cobre a exploração em Kubernetes.

Estrutura do Repositório

COPY-FAIL-Detection-with-Wazuh-4.14.4/
│
├── rules/
│   └── local_rules.xml              # 8 regras de detecção Wazuh (199600-199607)
│
├── auditd/
│   └── cve-2026-31431.rules         # Regras do sensor de syscalls auditd
│
├── sca/
│   └── cve_2026_31431.yml           # Política SCA - independente da versão do kernel
│
└── docs/
    ├── pentlab_uid.png               # Execução do PoC - root obtido no Kali
    ├── Rule-199604-TRIGs.png         # Regra 199604 - 80 ocorrências no pentlab
    ├── Rule_199604_Wazuh_Server_only.png  # Regra 199604 - primeira validação
    ├── Splice_-_Non-root_process.png # Regras 199600/199601/199604 disparando
    ├── Modprobe_-_Possible_Algif_aed_load_attempt.png  # Regra 199603
    ├── Pentlab-PoC.png               # Regra 199603 no agente pentlab
    ├── exploit_chain_timeline.svg    # Cadeia de Exploração
    └── SCA_CVE-2026-31431.png        # Pontuação da política SCA 75%

Arquitetura de Detecção

Duas camadas independentes — nenhuma depende da versão do kernel.

Camada 1 - Detecção Comportamental (auditd + Wazuh)

O filtro uid!=0 cobre usuários além das contas interativas: contas de serviço (www-data, postgres, jenkins), contêineres e web shells sem sessão de login.

Regras do sensor auditd (auditd/cve-2026-31431.rules):

-a always,exit -F arch=b64 -S socket -F a0=0x26 -F uid!=0 -k copy_fail_af_alg
-a always,exit -F arch=b32 -S socket -F a0=0x26 -F uid!=0 -k copy_fail_af_alg
-a always,exit -F arch=b64 -S splice -F uid!=0 -k copy_fail_splice
-w /usr/bin/su    -p x -k copy_fail_execve_su
-w /usr/bin/kmod  -p x -k copy_fail_modload

Camada 2 - Superfície de Vulnerabilidade (Política SCA)

Verificações de configuração automatizadas a cada 12 horas via sca/cve_2026_31431.yml. Nenhuma versão do kernel necessária.

Arquitetura da Cadeia de Regras

Nota de engenharia: As regras 199600 e 199601 devem ser filhas da regra 92600 (processo Python, profundidade 1), não da 80700. O mecanismo de regras do Wazuh segue um único caminho de cadeia por evento. Colocar as regras de detecção na profundidade 2 sob a 92600 garante que elas vençam a avaliação da cadeia sobre regras irmãs (ex.: 92603-92606 em 0850-audit_rules.xml que também correspondem a if_group=audit + exe=python).

Implantação

Passo 1 - Instalar auditd

# Ubuntu / Debian / Kali
apt install auditd audispd-plugins -y
systemctl enable --now auditd
auditctl -s | grep enabled

# RHEL / Amazon Linux
yum install audit -y
systemctl enable --now auditd

# SUSE
zypper install audit -y
systemctl enable --now auditd

Passo 2 - Implantar regras do sensor auditd

cp auditd/cve-2026-31431.rules /etc/audit/rules.d/
augenrules --load
auditctl -l | grep copy_fail

Saída esperada:

-a always,exit -F arch=b64 -S socket -F a0=0x26 -F uid!=0 -F key=copy_fail_af_alg
-a always,exit -F arch=b32 -S socket -F a0=0x26 -F uid!=0 -F key=copy_fail_af_alg
-a always,exit -F arch=b64 -S splice -F uid!=0 -F key=copy_fail_splice
-w /usr/bin/su -p x -k copy_fail_execve_su
-w /usr/bin/kmod -p x -k copy_fail_modload

Passo 3 - Implantar regras de detecção Wazuh

As regras são fornecidas em rules/local_rules.xml. Você pode mesclar o conteúdo no seu /var/ossec/etc/rules/local_rules.xml existente ou implantar como um arquivo independente:

# Opção A - arquivo independente
cp rules/local_rules.xml /var/ossec/etc/rules/cve-2026-31431_rules.xml

# Opção B - anexar ao local_rules.xml
cat rules/local_rules.xml >> /var/ossec/etc/rules/local_rules.xml

# Validar sintaxe - deve sair com 0 e zero avisos
/var/ossec/bin/wazuh-analysisd -t 2>&1 | tail -5

# Reiniciar o gerenciador
systemctl restart wazuh-manager

Passo 4 - Implantar política SCA

cp sca/cve_2026_31431.yml /var/ossec/etc/shared/default/

Adicione ao ossec.conf dentro do bloco <sca>:

<policies>
  <policy>/var/ossec/etc/shared/default/cve_2026_31431.yml</policy>
</policies>

systemctl restart wazuh-manager

Passo 5 - Configurar localfile no ossec.conf

Garanta que o Wazuh ingira o log do auditd:

<!-- Adicione dentro de <ossec_config> -->
<localfile>
  <log_format>audit</log_format>
  <location>/var/log/audit/audit.log</location>
</localfile>

Validação

Teste rápido (sem exploit - apenas syscalls)

# Crie um usuário de teste se necessário
useradd -m testuser 2>/dev/null || true

# Gerar SINAL 1 - Socket AF_ALG
su - testuser -c "python3 -c \"import socket; socket.socket(38, 5, 0); print('AF_ALG OK')\""

# Gerar SINAL 3 - Execução de /usr/bin/su
su - testuser -c "/usr/bin/su --help 2>/dev/null || true"

# Verificar se o auditd capturou os eventos
ausearch -k copy_fail_af_alg -ts recent 2>/dev/null | grep "key=\|exe=\|uid=" | head -5

# Verificar se o Wazuh gerou alertas
grep -E "199600|199602" /var/ossec/logs/alerts/alerts.log | tail -10

Validar resultados SCA

grep -E "31431|cve_2026" /var/ossec/logs/alerts/alerts.log | tail -10

Pontuação SCA esperada (sistema sem mitigação): 75% (3 aprovados / 1 reprovado - algif_aead não bloqueado)

Evidências de Validação em Produção

Execução do PoC - Root obtido no Kali (pentlab)

testuser (uid=1001) executou o PoC de 732 bytes e obteve shell root:

Regra 199604 - CADEIA DE EXPLORAÇÃO DETECTADA (pentlab, 80 ocorrências)

Socket AF_ALG + splice() do mesmo processo python - pid=46784 - INVESTIGAÇÃO IMEDIATA NECESSÁRIA:

Regra 199604 - Primeira validação (servidor Wazuh, pid=53447)

Regras 199600 / 199601 / 199604 - splice() e AF_ALG disparando

Regra 199603 - Execução de modprobe detectada (93 ocorrências)

Regra 199603 - agente pentlab (35 ocorrências)

Política SCA - Pontuação 75% (3 aprovados / 1 reprovado)

Resultados do Discover no Dashboard Wazuh (agente=pentlab, Hoje):

wazuh-analysisd -t: saída 0 - zero avisos - todas as 8 regras carregadas.

Remediação

Mitigação imediata (antes do patch)

rmmod algif_aead 2>/dev/null || true
echo 'install algif_aead /bin/false' > /etc/modprobe.d/disable-algif-aead.conf

Isso não afeta dm-crypt/LUKS, kTLS, IPsec, OpenSSL, GnuTLS ou SSH.

Correção permanente

Aplique o commit do kernel a664bf3d603d por meio da atualização do kernel da sua distribuição. Ele reverte a otimização in-place de 2017 em algif_aead.c, separando req->src (SGL de TX, onde splice entrega as páginas) de req->dst (SGL de RX, buffer do usuário). Todas as principais distribuições estão fornecendo a correção.

# Ubuntu / Debian
apt update && apt upgrade linux-generic

# RHEL / Amazon Linux
dnf update kernel

# SUSE
zypper update kernel-default

Linha do Tempo de Divulgação

Comparação com Vulnerabilidades Semelhantes

Resumo da Política SCA

Autor

Kislley Rodrigues (m0us3r) Embaixador Wazuh | Engenharia de Detecção | Blue Team

Agradecimentos

• Taeyang Lee (Theori / Xint) pela descoberta, artigo e divulgação coordenada do CVE-2026-31431
• Equipe Wazuh pela plataforma SIEM/XDR aberta e pelo Programa de Embaixadores
• Xint Research pela profundidade técnica em https://xint.io/blog/copy-fail-linux-distributions

Regras de detecção, configuração do sensor auditd e política SCA validadas no Wazuh 4.14.4, Ubuntu 24.04.2 LTS (kernel 6.8.0-106-generic) e Kali GNU/Linux 2026.1 (kernel 6.18.12+kali-amd64).

Atualização 2026-05-03

Wazuh

Este projeto foi desenvolvido como parte do Programa de Embaixadores Wazuh.

O Wazuh é uma plataforma de segurança gratuita e de código aberto que fornece proteção unificada de XDR e SIEM. Saiba mais em wazuh.com.