CVE-2026-31431 (Copy Fail) Detection Toolkit

Набор инструментов для обнаружения и анализа CVE-2026-31431 «Copy Fail» — критической уязвимости локального повышения привилегий в Linux, затрагивающей дистрибутивы начиная с 2017 года.

Обзор уязвимости

CVE-2026-31431 эксплуатирует логическую ошибку в реализации algif_aead в ядре Linux, что обеспечивает надёжное локальное повышение привилегий через:

• Логическую ошибку в криптографическом API ядра (algif_aead)
• Вектор эксплуатации через сокетный интерфейс AF_ALG и системный вызов splice()
• Примитив записи 4 байт, нацеленный на page cache setuid-бинарников
• 100% надёжность — не требуются гонки (race conditions) или специфичные для ядра смещения

Критические сценарии воздействия

• Побег из контейнера: повышение привилегий из контейнера до root на хосте
• Компрометация мультитенантных сред: повышение привилегий между арендаторами в общих средах
• CI/CD инфраструктура: выполнение вредоносного кода в конвейерах сборки
• Общие системы разработки: повышение привилегий от любого локального пользователя до root

Инструменты обнаружения

1. Основной скрипт обнаружения (copy_fail_detect.py)

Комплексный механизм обнаружения на Python для активного и криминалистического анализа.

Возможности:

• Перечисление и анализ сокетов AF_ALG
• Проверка целостности setuid-бинарников (сравнение диска и памяти)
• Оценка статуса криптомодулей ядра
• Анализ системных журналов на предмет индикаторов эксплуатации
• Анализ поведения процессов на предмет злоупотребления крипто API
• Корреляция журналов аутентификации

Использование:

sudo sudo										# Привилегированный режим обнаруживает больше артефактов
python3 copy_fail_detect.py                    	# Полное сканирование системы
python3 copy_fail_detect.py --monitor          	# Режим непрерывного мониторинга

2. Правила обнаружения YARA (copy_fail_detection.yar)

Сигнатурное обнаружение для анализа файловой системы и памяти.

Покрытие правил:

• CopyFail_Exploit_Python: обнаружение вариантов эксплойтов на Python
• CopyFail_Exploit_Generic: шаблоны общих техник эксплуатации
• CopyFail_InMemory_Artifacts: обнаружение артефактов в памяти во время выполнения
• CopyFail_Modified_SetUID: обнаружение изменённых setuid-бинарников
• CopyFail_C_Implementation: обнаружение реализации эксплойта на C/C++

Использование:

yara copy_fail_detection.yar /path/to/scan
yara copy_fail_detection.yar /proc/*/mem

3. Сканер сред Windows (Copy-Fail-Windows-Detect.ps1)

Обнаружение на основе PowerShell для систем Windows с WSL, Docker или Linux-виртуальными машинами. НЕ ПОЛНОСТЬЮ ПРОТЕСТИРОВАНО!

Целевые среды:

• Экземпляры подсистемы Windows для Linux (WSL)
• Контейнеры Docker, работающие в Windows
• Анализ журналов событий Windows
• Корреляция кроссплатформенных сред

Использование:

.\Copy-Fail-Windows-Detect.ps1 -All
.\Copy-Fail-Windows-Detect.ps1 -WSL
.\Copy-Fail-Windows-Detect.ps1 -Docker

Лицензия и правовое уведомление

Данный набор инструментов предоставляется исключительно для оборонительных целей кибербезопасности. Использование должно соответствовать применимым законам и политикам организации. Пользователи несут ответственность за получение надлежащего разрешения перед развёртыванием в любой среде.

Ссылки

• Данные CVE: CVE-2026-31431
• Первоначальное раскрытие: https://copy.fail/
• Технический анализ: Theori Security Research