Непривилегированный пользователь  ──►  AF_ALG + splice()  ──►  Запись 4 байт в кэш страниц  ──►  ROOT

AF_ALG (пользовательский крипто API)
└── модуль algif_aead
    └── шаблон authencesn  ◄── УЯЗВИМО
        └── оптимизация на месте (2017)
            └── req->src == req->dst  ◄── страницы из splice() попадают в изменяемый список рассеяния dst

Шаг 1: Открыть сокет AF_ALG AEAD
        socket(AF_ALG, SOCK_SEQPACKET, 0)

Шаг 2: Отправить страницы splice(), ссылающиеся на целевой файл
        (страницы кэша страниц привилегированного бинарника, например /usr/bin/sudo)

Шаг 3: Запустить черновую запись authencesn
        authencesn использует буфер dst как черновик →
        записывает 4 контролируемых байта ЗА пределами легитимной области вывода

Шаг 4: Запись в кэше страниц для целевого файла теперь повреждена
        (файл на диске не тронут — изменена только копия в памяти)

Шаг 5: Запустить изменённый бинарник → ROOT

# Исправлено в коммите: a664bf3d603d
git show a664bf3d603d

CVE-2026-31431-CopyFail/
│
├── 📄 README.md                          ← Вы здесь
├── 📄 LICENSE                            ← Лицензия (исследовательская/образовательная)
├── 📄 DISCLAIMER.md                      ← Политика юридического и этического использования
├── 📄 CHANGELOG.md                       ← История версий
│
├── 📂 docs/
│   ├── vulnerability-analysis.md         ← Глубокий анализ: первопричина и механизмы
│   ├── exploitation-walkthrough.md       ← Пошаговая методология
│   ├── affected-kernels.md               ← Полная матрица версий ядер/дистрибутивов
│   ├── detection.md                      ← Покрытие защитных средств (Defender, Tenable, Wazuh)
│   └── references.md                     ← Все CVE, блоги, рекомендации
│
├── 📂 exploit/
│   ├── README.md                         ← Использование, предварительные требования, протестированные дистрибутивы
│   ├── copyfail.py                       ← Эталонный PoC (образовательный)
│   ├── trigger.c                         ← C-триггер AF_ALG + splice()
│   └── variants/
│       ├── ubuntu.py                     ← Вариант для Ubuntu
│       ├── rhel.py                       ← Вариант для RHEL/CentOS
│       └── amazon_linux.py              ← Вариант для Amazon Linux
│
├── 📂 detection/
│   ├── yara/
│   │   └── copyfail.yar                  ← YARA-правило для артефактов эксплойта
│   ├── sigma/
│   │   └── copyfail_lpe.yml              ← Sigma-правило для SIEM/SOC
│   └── scripts/
│       ├── check_vulnerable.sh           ← Быстрая проверка ядра на уязвимость
│       └── detect_algif_aead.sh         ← Проверка, загружен ли модуль
│
├── 📂 mitigation/
│   ├── README.md                         ← Обзор смягчающих мер
│   ├── disable_algif_aead.sh             ← Отключение затронутого модуля ядра
│   ├── patch-notes.md                    ← Детали патча основной ветки
│   └── kubernetes-hardening.md          ← Усиление защиты K8s / контейнеров
│
├── 📂 lab/
│   ├── Vagrantfile                       ← Воспроизводимая уязвимая VM
│   ├── setup.sh                          ← Скрипт начальной настройки лаборатории
│   └── docker/
│       └── Dockerfile                    ← Уязвимый контейнер Ubuntu
│
├── 📂 reports/
│   ├── pentest-report-template.md        ← Шаблон отчёта для клиента
│   └── sample-finding.md                ← Пример описания находки
│
└── 📂 assets/
    ├── demo.gif                          ← (Опционально) демонстрация в терминале
    └── diagrams/
        └── page-cache-write.png         ← Схема атаки

# Клонировать репозиторий
git clone https://github.com/0xFuffM3/CVE-2026-31431-CopyFail.git
cd CVE-2026-31431-CopyFail

# Запустить уязвимую лабораторную VM
cd lab/
vagrant up

# Подключиться по SSH к лабораторной среде
vagrant ssh

# Проверить версию ядра (должна быть уязвимой)
uname -r

cd lab/docker/

# Собрать образ уязвимого контейнера
docker build -t copyfail-lab .

# Запустить с необходимыми привилегиями для взаимодействия с ядром
docker run --rm -it --privileged copyfail-lab /bin/bash

# Запустить скрипт быстрой проверки
chmod +x detection/scripts/check_vulnerable.sh
./detection/scripts/check_vulnerable.sh

[!] Версия ядра: 5.15.0-91-generic
[!] Модуль algif_aead: ЗАГРУЖЕН
[✗] Система выглядит УЯЗВИМОЙ к CVE-2026-31431 (Copy Fail)
[*] Рекомендуемое действие: применить обновление ядра или отключить algif_aead

[✓] Версия ядра: 6.1.132
[✓] Система выглядит ИСПРАВЛЕННОЙ против CVE-2026-31431 (Copy Fail)

# Python 3.6+
python3 --version

# Необходимые модули ядра присутствуют
lsmod | grep algif_aead

# Проверить, что целевой бинарник доступен для чтения
ls -la /usr/bin/sudo

cd exploit/

# Проверить текущий уровень привилегий
id
# uid=1000(user) gid=1000(user) groups=1000(user)

# Запустить Copy Fail PoC
python3 copyfail.py

# Проверить повышение привилегий
id
# uid=0(root) gid=0(root) groups=0(root)

1. Определить версию ядра
   └─► uname -r / cat /proc/version

2. Проверить, загружен ли algif_aead
   └─► lsmod | grep algif_aead

3. Подтвердить непривилегированный доступ
   └─► id / whoami

4. Выполнить Copy Fail PoC
   └─► python3 exploit/copyfail.py

5. Проверить доступ root
   └─► id && cat /etc/shadow

6. Задокументировать доказательства
   └─► Скриншот + запись версии ядра, дистрибутива, хэша эксплойта

7. Применить смягчение (после теста)
   └─► sudo bash mitigation/disable_algif_aead.sh

8. Включить в отчёт по пентесту
   └─► Использовать reports/pentest-report-template.md

// detection/yara/copyfail.yar
rule CopyFail_CVE_2026_31431 {
    meta:
        description = "Detects Copy Fail (CVE-2026-31431) exploit artefacts"
        author      = "0xFuffM3"
        date        = "2026-04-30"
        reference   = "https://copy.fail"
    strings:
        $py1 = "algif_aead" ascii
        $py2 = "AF_ALG" ascii
        $py3 = "splice" ascii
        $py4 = "page_cache" ascii
        $py5 = "authencesn" ascii
    condition:
        3 of them
}

yara detection/yara/copyfail.yar /tmp/ -r

# detection/sigma/copyfail_lpe.yml
title: Copy Fail LPE Exploit Execution (CVE-2026-31431)
status: stable
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        CommandLine|contains:
            - 'AF_ALG'
            - 'algif_aead'
            - 'authencesn'
    condition: selection
falsepositives:
    - Легитимное тестирование крипто API
level: high

chmod +x detection/scripts/detect_algif_aead.sh
./detection/scripts/detect_algif_aead.sh

# Ubuntu / Debian
sudo apt-get update && sudo apt-get upgrade linux-image-generic

# RHEL / CentOS
sudo yum update kernel

# Amazon Linux
sudo yum update kernel

# После обновления перезагрузить
sudo reboot

# Запустить скрипт смягчения
chmod +x mitigation/disable_algif_aead.sh
sudo bash mitigation/disable_algif_aead.sh

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || echo "[*] Модуль в настоящее время не загружен"
echo "[✓] algif_aead отключён. Перезагрузите для подтверждения сохранения."

Находка:    Локальное повышение привилегий через Copy Fail (CVE-2026-31431)
Серьёзность:   ВЫСОКАЯ (CVSS 7.8)
Хост:       10.10.10.55 (ubuntu-prod-01)
Ядро:       5.15.0-91-generic

Доказательства:
  - Непривилегированная оболочка (uid=1000) повышена до root (uid=0)
  - Подтверждено, что модуль ядра algif_aead загружен
  - Артефактов на диске нет — только кэш страниц

Рекомендация:
  1. Немедленно применить патч ядра от вендора
  2. Временное решение: отключить модуль algif_aead
  3. Проверить узлы Kubernetes и CI/CD раннеры