CVE-2026-31431 — Copy Fail

Локальное повышение привилегий в ядре Linux через AF_ALG + перезапись page-cache через splice

Только для авторизованных исследований безопасности, пентеста и образовательных целей. Не используйте против систем, которыми вы не владеете или на тестирование которых у вас нет явного письменного разрешения.

Технический разбор

---

Содержание

• Описание
• Детали уязвимости
• Структура репозитория
• Быстрый старт
• Обнаружение
• Требования
• Меры по смягчению
• Тестовая среда (необязательно)
• Ссылки
• Лицензия

---

Описание

CVE-2026-31431 — это уязвимость локального повышения привилегий (LPE) в ядре Linux. Непривилегированный локальный пользователь может получить root-доступ, комбинируя интерфейс сокетов AF_ALG с splice() для выполнения аутентифицированной записи напрямую в страницу page-cache, принадлежащую setuid-бинарнику.

Эксплойт перезаписывает бинарник su в page-cache без изменения inode на диске, в обход механизмов целостности, которые полагаются исключительно на метаданные файла или контрольные суммы на уровне блоков.

---

Детали уязвимости

Поле	Значение
CVE ID	CVE-2026-31431
Тип	Локальное повышение привилегий (LPE)
Оценка CVSS v3.1	7.8 High — AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (источник: kernel.org)
Подсистемы ядра	crypto/af_alg.c, mm/splice.c
Вектор атаки	Локальный — требуется учётная запись непривилегированного пользователя
Корневая причина	algif_aead принимает sendfile() через AEAD-сокет без обеспечения семантики copy-on-write для отображаемой страницы page-cache до завершения передачи через splice()

Затронутые окружения

Дистрибутив	Версия ядра	Архитектура
Ubuntu 24.04 LTS	6.17.0-1007-aws	x86_64
Amazon Linux 2023	6.18.8-9.213.amzn2023	x86_64
RHEL 10.1	6.12.0-124.45.1.el10_1	x86_64
SUSE 16	6.12.0-160000.9-default	x86_64
Raspberry Pi OS (Pi 5)	6.12.75+rpt-rpi-2712	aarch64

---

Структура репозитория

.
├── exploit.py    # PoC — перезапись page-cache и повышение привилегий
├── detect.bt     # BPFtrace-скрипт для обнаружения в реальном времени
├── run-vm.sh     # Автоматизация тестовой среды QEMU (необязательно)
├── PAYLOAD.md    # Анализ кодирования полезной нагрузки (hex → zlib → ELF → shellcode)
└── LICENSE

---

Быстрый старт

Запустите exploit.py от имени непривилегированного локального пользователя на любой уязвимой системе — sudo не требуется:

python3 exploit.py

Скрипт выполняет следующие шаги:

1. Проверяет поддержку ядром AF_ALG (algif_aead) и находит бинарник su.
2. Выбирает и распаковывает полезную нагрузку, соответствующую архитектуре.
3. Открывает бинарник su как сырой файловый дескриптор и перезаписывает его страницы page-cache через AF_ALG + sendfile.
4. Проверяет повышение привилегий. В случае успеха открывает root-шелл.

Поддерживаемые архитектуры:

Архитектура	Варианты
x86_64	—
aarch64	—
riscv64	—
ppc64le	—
arm	armv5l, armv6l, armv7l
x86 32-bit	i386, i486, i586, i686
MIPS 64-bit	mips64, mips64el
LoongArch	loong64, loongarch64
s390x	—

---

Обнаружение

Отслеживайте попытки эксплуатации в реальном времени с помощью detect.bt. Требуется root:

sudo bpftrace detect.bt
# или
doas bpftrace detect.bt

Скрипт отслеживает три индикатора для каждого PID с помощью битовой маски в @suspect[pid]:

Бит	Системный вызов	Индикатор
0x1	socket(AF_ALG, SOCK_SEQPACKET)	Создан сокет AF_ALG
0x2	setsockopt(SOL_ALG, ...)	Настроена криптооперация
0x4	sendmsg(MSG_MORE) + splice()	Попытка перезаписи page-cache

Срабатывание сигнала происходит, когда все три бита установлены (@suspect[pid] == 0x7) для одного и того же PID.

---

Требования

exploit.py

• Python 3.6+
• Ядро Linux с загруженным модулем AF_ALG/algif_aead
• Локальная учётная запись непривилегированного пользователя (root не требуется)

detect.bt

• bpftrace ≥ 0.12
• Права root (требуются для BPF-трассировки)

# Ubuntu/Debian
sudo apt install bpftrace

# RHEL/CentOS/Fedora
sudo dnf install bpftrace

# Amazon Linux
sudo yum install bpftrace

# SUSE
sudo zypper install bpftrace

# Alpine
sudo apk add bpftrace

---

Меры по смягчению

1. Патч (предпочтительно)

Обновите пакет ядра вашего дистрибутива до версии, включающей коммит из основной ветки a664bf3d603d, который отменяет оптимизацию algif_aead на месте 2017 года, чтобы страницы page-cache больше не могли попадать в записываемый scatterlist назначения. Большинство крупных дистрибутивов уже распространяют это исправление.

2. Отключение algif_aead (в ожидании патча)

blacklist можно обойти явным modprobe algif_aead. Директива install .../bin/false полностью переопределяет команду установки, заставляя каждую попытку загрузки завершаться неудачей:

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

Что это ломает — почти ничего