CVE-2026-31431 «Copy Fail» — лабораторная работа по LPE в ядре Linux

Обзор

В этом репозитории задокументировано полное лабораторное исследование CVE-2026-31431 (Copy Fail) — уязвимости локального повышения привилегий (LPE) высокой степени серьёзности в криптографическом модуле ядра Linux algif_aead, раскрытой 29 апреля 2026 года.

Оценка CVSS: 7.8 (Высокая)
Тестовое ядро: 6.18.12+kali-amd64
Дата лабораторной работы: 11 мая 2026 года

Содержимое

Ключевые результаты

• Ядро 6.18.12+kali-amd64 подтверждено как УЯЗВИМОЕ
• algif_aead автоматически загружается по требованию — в состоянии покоя отсутствует
• Перезапись page-cache файла /etc/passwd повысила uid=1000 → uid=0
• su kali не сработал (PAM повторно проверяет через loginuid)
• sudo -u root /bin/bash сработал — получена root-оболочка
• Ноль следов на диске — мониторинг целостности файлов обойдён
• Директивы blacklist недостаточно — требуется install /bin/false
• Митигация подтверждена как эффективная с помощью безопасного детектора

Митигация

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true
modprobe -n -v algif_aead   # Проверка: должно показать "install /bin/false"

Исправленные версии ядра: 6.18.22+ / 6.19.12+ / 7.0+

Отказ от ответственности

Этот репозиторий предназначен только для образовательных и защитных исследований в области безопасности. Все тесты проводились на изолированной виртуальной машине, принадлежащей исследователю. Не используйте эти инструменты против систем, которыми вы не владеете или на тестирование которых у вас нет явного письменного разрешения.