CVE-2026-31431 "Copy Fail" — Laboratório de LPE no Kernel Linux

Visão Geral

Este repositório documenta uma investigação laboratorial completa da CVE-2026-31431 (Copy Fail), uma vulnerabilidade de escalonamento local de privilégios (LPE) de alta severidade no módulo criptográfico algif_aead do kernel Linux, divulgada em 29 de abril de 2026.

Pontuação CVSS: 7.8 (Alta)
Kernel de Teste: 6.18.12+kali-amd64
Data do Laboratório: 11 de maio de 2026

Conteúdo

Principais Descobertas

• Kernel 6.18.12+kali-amd64 confirmado como VULNERÁVEL
• algif_aead carrega automaticamente sob demanda — não presente em repouso
• Sobrescrita do page-cache de /etc/passwd elevou uid=1000 → uid=0
• su kali falhou (PAM revalida via loginuid)
• sudo -u root /bin/bash teve sucesso — shell root obtido
• Zero rastro em disco — monitoramento de integridade de arquivos contornado
• A diretiva blacklist é insuficiente — install /bin/false é necessária
• Mitigação confirmada como eficaz via detector seguro

Mitigação

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true
modprobe -n -v algif_aead   # Verificar: deve mostrar "install /bin/false"

Versões de kernel corrigidas: 6.18.22+ / 6.19.12+ / 7.0+

Aviso Legal

Este repositório é exclusivamente para fins educacionais e de pesquisa defensiva em segurança. Todos os testes foram realizados em uma máquina virtual isolada, de propriedade do pesquisador. Não utilize nenhuma destas ferramentas contra sistemas que você não possua ou para os quais não tenha autorização escrita explícita para testar.