CVE-2026-31431 — Copy Fail

Linux 内核通过 AF_ALG + splice 覆盖页缓存实现本地权限提升

仅限授权的安全研究、渗透测试和教育用途。 请勿对您不拥有或未经明确书面许可的系统使用。

技术分析文章

目录

• 描述
• 漏洞详情
• 仓库结构
• 快速开始
• 检测
• 环境要求
• 缓解措施
• 测试环境（可选）
• 参考资料
• 许可证

描述

CVE-2026-31431 是 Linux 内核中的一个本地权限提升（LPE）漏洞。非特权本地用户可以通过将 AF_ALG 套接字接口与 splice() 结合使用，直接向属于 setuid 二进制的页缓存页面执行经过认证的写入，从而获得 root 访问权限。

该漏洞利用程序会覆盖页缓存中的 su 二进制文件，而无需修改磁盘上的 inode，从而绕过仅依赖文件元数据或块级校验和的完整性机制。

漏洞详情

受影响环境

仓库结构

.
├── exploit.py    # PoC — 页缓存覆盖和权限提升
├── detect.bt     # 用于实时检测的 BPFtrace 脚本
├── run-vm.sh     # QEMU 测试环境自动化（可选）
├── PAYLOAD.md    # 载荷编码分析（hex → zlib → ELF → shellcode）
└── LICENSE

快速开始

在任何易受攻击的系统上以非特权本地用户身份运行 exploit.py — 无需 sudo：

python3 exploit.py

该脚本执行以下步骤：

1. 验证内核是否支持 AF_ALG（algif_aead）并定位 su 二进制文件。
2. 选择并解压适合架构的载荷。
3. 以原始文件描述符打开 su 二进制文件，并通过 AF_ALG + sendfile 覆盖其页缓存页面。
4. 测试权限提升。如果成功，则进入 root shell。

支持的架构：

检测

使用 detect.bt 实时监控利用尝试。需要 root 权限：

sudo bpftrace detect.bt
# 或
doas bpftrace detect.bt

该脚本使用 @suspect[pid] 中的位掩码跟踪每个 PID 的三个指标：

当同一 PID 上三个位全部置位（@suspect[pid] == 0x7）时，将触发警报。

环境要求

exploit.py

• Python 3.6+
• 已加载 AF_ALG/algif_aead 模块的 Linux 内核
• 本地非特权用户账户（不需要 root）

detect.bt

• bpftrace ≥ 0.12
• root 权限（BPF 跟踪所需）

# Ubuntu/Debian
sudo apt install bpftrace

# RHEL/CentOS/Fedora
sudo dnf install bpftrace

# Amazon Linux
sudo yum install bpftrace

# SUSE
sudo zypper install bpftrace

# Alpine
sudo apk add bpftrace

缓解措施

1. 补丁（首选）

将发行版的内核包更新为包含主线提交 a664bf3d603d 的版本， 该提交撤销了 2017 年的 algif_aead 原地优化，使页缓存页面不再可能出现在可写目标 scatterlist 中。大多数主流发行版目前正在推送此修复。

2. 禁用 algif_aead（等待补丁期间）

blacklist 可以通过显式 modprobe algif_aead 绕过。install .../bin/false 指令会完全覆盖安装命令，使每次加载尝试都失败：

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

这会破坏什么 — 几乎不会破坏任何东西

“否”行中的子系统直接使用内核内加密 API — 它们从不经过 AF_ALG。性能会回退到普通的用户空间加密库，而这正是几乎所有其他程序已经在使用的。

在禁用之前，要检查系统上是否有任何程序正在积极使用 AF_ALG：

lsof | grep AF_ALG
ss -xa | grep alg

3. 通过 seccomp 阻止（容器、沙箱、CI）

无论补丁状态如何，都拒绝不受信任的工作负载创建 socket(AF_ALG, ...)。将 AF_ALG（协议族 38）添加到您的 seccomp 拒绝列表，或使用限制非特权进程 socket 调用的 AppArmor/SELinux 策略。

4. 使用 detect.bt 进行监控

在任何无法立即修补或锁定的主机上部署附带的检测脚本。它将针对执行完整三步利用原语的任何进程发出警报。

测试环境（可选）

run-vm.sh 自动化创建 Ubuntu 24.04 QEMU 虚拟机，用于在受控环境中进行测试。exploit.py 和 detect.bt 可直接在任何易受攻击的主机上运行 — 不需要 QEMU。

主机要求

安装 QEMU

# Ubuntu/Debian
sudo apt install qemu-system-x86 cloud-image-utils wget

# Fedora/RHEL
sudo dnf install qemu-system-x86 wget

# Arch
sudo pacman -Sy qemu

# Alpine
sudo apk add qemu-system-x86 qemu-ui-gtk wget

运行

sh run-vm.sh

交互式菜单

1. 启动/创建虚拟机
2. 通过 SSH 连接
3. 上传文件到虚拟机  (exploit.py、detect.bt)
4. 在虚拟机内运行 exploit
5. 在虚拟机内运行 detect.bt
6. 检查虚拟机状态
7. 停止虚拟机
8. 清理虚拟机文件
0. 退出

虚拟机凭据

参考资料

• 技术分析文章 — xint.io
• 载荷编码分析 — hex → zlib → ELF → shellcode 分解
• crypto/af_alg.c — 内核源码
• mm/splice.c — 内核源码

许可证

本项目采用 GNU 通用公共许可证 v3.0 或更高版本 授权。 完整文本请参见 LICENSE。

免责声明： 本仓库仅用于授权的安全研究、渗透测试和教育目的。作者对因使用本软件造成的任何滥用或损害不承担任何责任。