Март/2026       → Исследователи Theori выявляют аномальное поведение в ядре
Март/2026       → Ответственное раскрытие (Responsible Disclosure) команде безопасности ядра
~1 неделя спустя → Патч upstream доступен на kernel.org
Май/2026        → Код эксплойта (PoC) опубликован публично
01/05/2026      → Microsoft публикует технический анализ
04/05/2026      → CISA добавляет в KEV Catalog (Known Exploited Vulnerabilities)
15/05/2026      → Срок исправления для федеральных агентств США

┌─────────────────────────────────────┐
│           USERSPACE                 │
│   Процесс атакующего (uid=1000)     │
│   → вызывает вредоносный syscall    │
└────────────────┬────────────────────┘
                 │ syscall
                 ▼
┌─────────────────────────────────────┐
│           KERNELSPACE               │
│   Процедура копирования данных      │
│   → ОШИБКА: сбой копирования       │
│     метаданных                      │
│   → повреждает структуру управления │
│   → атакующий манипулирует          │
│     указателем                      │
│   → выполняет код как root          │
└─────────────────────────────────────┘

// УЯЗВИМАЯ версия (упрощённая, для обучения)
int kernel_copy_data(struct user_request *req) {
    struct kernel_buffer kbuf;
    
    // ОШИБКА: копирует только часть данных, игнорируя критические поля
    // Поля безопасности (security_context) не копируются!
    memcpy(&kbuf.data, req->data, req->size);
    // → kbuf.security_context остаётся неинициализированным (мусор в памяти)
    
    process_buffer(&kbuf); // использует повреждённые данные
    return 0;
}

// ИСПРАВЛЕННАЯ версия
int kernel_copy_data(struct user_request *req) {
    struct kernel_buffer kbuf;
    
    // ИСПРАВЛЕНИЕ: копирует всю struct, включая поля безопасности
    if (copy_from_user(&kbuf, req, sizeof(struct kernel_buffer)))
        return -EFAULT;
    
    process_buffer(&kbuf);
    return 0;
}

Интернет → [RCE через веб-уязвимость] → ограниченная оболочка → [CopyFail] → root

# Необходимые инструменты
sudo apt install -y git build-essential libssl-dev bc flex bison

# Проверить текущую версию ядра
uname -r

# Проверить, находится ли она в уязвимом диапазоне (≤ 7.0)
# Пример уязвимого вывода: 6.8.0-51-generic

# 1. Создать изолированную виртуальную машину (рекомендуется: VirtualBox или QEMU)
# Используйте ISO Ubuntu 24.04 или Debian Bookworm

# 2. Убедиться, что виртуальная машина НЕ имеет доступа к производственному интернету
# (используйте host-only сеть или изолированный NAT)

# 3. Создать пользователя без привилегий для имитации атакующего
sudo adduser testuser
su - testuser

# 4. Убедиться, что testuser не имеет sudo
sudo whoami  # должно вернуть: "testuser is not in the sudoers file"

# Скрипт проверки (НЕ эксплуатирует, только проверяет)
#!/bin/bash

KERNEL_VERSION=$(uname -r | cut -d. -f1,2)
MAJOR=$(echo $KERNEL_VERSION | cut -d. -f1)
MINOR=$(echo $KERNEL_VERSION | cut -d. -f2)

echo "[*] Обнаружено ядро: $(uname -r)"

if [ "$MAJOR" -lt 7 ] || ([ "$MAJOR" -eq 7 ] && [ "$MINOR" -eq 0 ]); then
    echo "[!] ПОТЕНЦИАЛЬНО УЯЗВИМО к CVE-2026-31431 (CopyFail)"
    echo "[!] Проверьте, применён ли патч вашим поставщиком дистрибутива"
else
    echo "[+] Версия ядра вне затронутого диапазона"
fi

# Проверить, применён ли патч (через журналы изменений пакета)
apt changelog linux-image-$(uname -r) 2>/dev/null | grep -i "CVE-2026-31431" && \
    echo "[+] Патч CVE-2026-31431 найден в журнале изменений" || \
    echo "[?] Патч не обнаружен в журнале изменений — проверьте вручную"

#!/usr/bin/env python3
"""
CVE-2026-31431 (CopyFail) — Дидактическое представление
Цель: Обучение наступательной/оборонительной безопасности
НЕ ИСПОЛЬЗОВАТЬ НА СИСТЕМАХ БЕЗ РАЗРЕШЕНИЯ
"""

import ctypes
import os
import sys

def check_environment():
    """Проверяет, находимся ли мы в лабораторной среде"""
    kernel = os.uname().release
    print(f"[*] Ядро: {kernel}")
    print(f"[*] Текущий UID: {os.getuid()}")
    
    if os.getuid() == 0:
        print("[-] Мы уже root. Эксплойт не требуется.")
        sys.exit(0)

def demonstrate_concept():
    """
    Концептуальная демонстрация вектора атаки:
    
    1. Определить уязвимый syscall
    2. Создать payload, запускающий неполное копирование
    3. Отслеживать повреждение памяти
    4. Перенаправить поток для повышения привилегий
    
    В реальном эксплойте:
    - Атакующий использует такие техники, как heap spray или ROP-цепочки
    - Злоупотребляет окном между повреждением и использованием повреждённых данных
    - Перезаписывает учётные данные процесса (uid → 0)
    """
    print("[*] Концепция: триггер дефектной процедуры копирования")
    print("[*] Концепция: отслеживание повреждения struct kernel_buffer")
    print("[*] Концепция: перенаправление потока выполнения")
    print("[*] См.: https://xint.io/blog/copy-fail-linux-distributions")

def main():
    check_environment()
    demonstrate_concept()
    print("\n[i] Для полного технического анализа см.:")
    print("    → https://xint.io/blog/copy-fail-linux-distributions")
    print("    → https://www.microsoft.com/en-us/security/blog/2026/05/01/cve-2026-31431-copy-fail-vulnerability-enables-linux-root-privilege-escalation/")

if __name__ == "__main__":
    main()

# В отдельном терминале отслеживать журналы ядра
sudo dmesg -w | grep -E "(oops|panic|null pointer|exploit|cve)"

# Отслеживать системные вызовы
sudo strace -e trace=all -p <PID_ПРОЦЕССА>

# Проверять изменения UID в реальном времени
watch -n 0.5 'cat /proc/self/status | grep -E "^(Uid|Gid)"'

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y linux-image-generic
sudo reboot

# Проверить версию после перезагрузки
uname -r

# Red Hat / CentOS / Amazon Linux
sudo dnf update -y kernel
sudo reboot

# SUSE
sudo zypper update -t package kernel-default
sudo reboot

# Проверить журнал изменений установленного ядра
apt changelog linux-image-$(uname -r) | grep CVE-2026-31431

# Через трекер CVE Ubuntu
# https://ubuntu.com/security/CVE-2026-31431

# Через базу данных CVE Red Hat
# https://access.redhat.com/security/cve/CVE-2026-31431

# Ограничить выполнение SUID-бинарников (уменьшает поверхность атаки)
find / -perm -4000 -type f 2>/dev/null

# Включить аудит подозрительных syscall
sudo auditctl -a always,exit -F arch=b64 -S all -k syscall_audit

# Отслеживать попытки повышения привилегий
sudo apt install -y auditd
sudo auditctl -w /etc/passwd -p wa -k passwd_changes
sudo auditctl -w /etc/sudoers -p wa -k sudoers_changes

# Активировать защиту ядра
# /etc/sysctl.conf — добавить:
kernel.dmesg_restrict = 1
kernel.kptr_restrict = 2
kernel.perf_event_paranoid = 3
kernel.unprivileged_bpf_disabled = 1
net.core.bpf_jit_harden = 2

# Применить
sudo sysctl -p

# Признаки возможной эксплуатации:

# 1. Процессы обычного пользователя, работающие от root
ps aux | awk '$1 != "root" && $2 == "0"'

# 2. Недавно созданные SUID-бинарники
find / -perm -4000 -newer /etc/passwd -type f 2>/dev/null

# 3. Подозрительные записи в /etc/passwd
grep "uid=0" /etc/passwd

# 4. Журналы ядра с сообщениями о повреждении
dmesg | grep -iE "(oops|BUG:|corruption|cve)"

# 5. Несанкционированные сетевые подключения
ss -tulnp | grep LISTEN