🔐 CVE-2026-31431 - Estrutura de Pesquisa de Exploração de Kernel

Framework modular para o estudo de uma vulnerabilidade de escalada de privilégios (LPE) no Linux baseada em técnicas de AF_ALG + Page Cache Injection.

🎯 Objetivo

Este projeto foi projetado para:

• Pesquisa de vulnerabilidades no kernel Linux
• Ensino de técnicas reais de exploração (LPE)
• Execução de laboratórios controlados de cibersegurança

⚙️ O que este projeto faz?

Este framework implementa uma técnica que permite:

• Modificar o conteúdo em memória (page cache) de binários SUID
• Alterar seu comportamento em tempo de execução
• Tentar escalar privilégios para root sem modificar o binário em disco

🧠 Como a vulnerabilidade funciona?

A exploração baseia-se na combinação de múltiplos mecanismos do kernel:

1. AF_ALG (Linux Crypto API)

Permite interagir com algoritmos criptográficos a partir do espaço do usuário por meio de sockets especiais.

2. sendmsg() manipulado

Estruturas especialmente construídas são enviadas ao kernel para provocar comportamento inesperado.

3. splice()

Permite transferir dados entre descritores de arquivo diretamente no espaço do kernel (zero-copy).

4. Page Cache Injection

O conteúdo em memória de arquivos é modificado sem alterar o arquivo em disco.

✔️ Resultado: O binário executa código modificado apenas em memória

🔥 Fluxo de execução

1. Detecção automática do sistema (kernel, mitigações)
2. Seleção do binário SUID (ex: /usr/bin/su)
3. Carregamento do payload
4. Divisão em chunks de 4 bytes
5. Injeção usando AF_ALG + splice()
6. Alteração do comportamento do binário
7. Execução do binário modificado em memória

🚀 Uso

Execução básica:

python3 main.py

Fluxo esperado:

[+] Escaneando sistema...
[+] Kernel vulnerável detectado
[+] Alvo encontrado: /usr/bin/su
[+] Injetando payload...
[+] Execução concluída

📌 Requisitos

• Sistema Linux potencialmente vulnerável
• Kernel sem patches associados
• Suporte para:

/proc/crypto   → AF_ALG
splice syscall → transferência no kernel

• Permissões de leitura sobre binários SUID

📁 Estrutura do projeto

exploit/
 ├── core.py        # Motor de exploração
 ├── payloads.py    # Gerenciamento de payloads
 ├── targets.py     # Definição de alvos
 └── detectors.py   # Detecção de vulnerabilidade

modules/
 ├── logger.py      # Logging estruturado
 ├── stealth.py     # Anti-detecção
 └── utils.py       # Utilidades

main.py             # Entry point

⚠️ Limitações

• ❌ Não é um exploit universal
• ❌ Dependente da versão exata do kernel
• ❌ Baseado em race conditions (não determinístico)

Pode falhar se existirem mitigações como:

• SELinux (enforcing)
• AppArmor
• GRSecurity

🧪 Uso recomendado

• Máquinas virtuais
• Laboratórios isolados
• Ambientes de teste controlados

👨‍🏫 Uso didático

Este framework permite ensinar:

• Exploração de kernel
• Técnicas de escalada de privilégios (LPE)
• Page Cache attacks
• Race conditions
• Interação userland ↔ kernel

⚠️ Aviso Legal

Este projeto é exclusivamente para:

• Educação
• Pesquisa
• Ambientes controlados

❌ Não utilizar em sistemas sem autorização.

📜 Licença

MIT License