Copy-Fail 漏洞利用（CVE-2026-31431）

针对 Linux 内核写时复制漏洞的本地权限提升利用，通过 AF_ALG 套接字和 splice 操作实现。

概述

该利用程序滥用 Linux 加密子系统（AF_ALG）中的内核级内存损坏条件，并结合零拷贝机制（splice）来修改内存中的特权二进制文件。

通过在运行时修补 /usr/bin/su，无需有效凭据即可提升至 root 权限。

使用方法

静态编译以便在任何 Linux 环境中使用，无需 Python 或额外库。

gcc -o exploit exploit.c -lz -static
./exploit

工作原理

1. 打开 /usr/bin/su
2. 创建 AF_ALG AEAD 套接字
3. 通过精心构造的套接字操作触发内核内存损坏
4. 使用 splice() 系统调用进行零拷贝内存操作
5. 覆盖内存中的认证逻辑
6. 执行修补后的 su 以获得 root shell

要求

• 存在漏洞的 Linux 内核版本
• 已启用 CONFIG_CRYPTO_USER_API_AEAD
• 允许用户命名空间
• 本地 shell 访问权限

检测与缓解

• 在可用时修补至已修复的内核版本

• 如非必需，禁用非特权用户命名空间：

  sysctl -w kernel.unprivileged_userns_clone=0

• 监控以下可疑使用行为：

  • AF_ALG 套接字
  • splice() 系统调用

• 应用内核加固措施（LSM、seccomp 等）

免责声明

仅用于教育和授权的安全研究目的。
未经授权使用此利用程序可能违反适用法律。 我不拥有原始代码，也不是该 CVE 的发现者。

参考

• CVE：CVE-2026-31431
• 组件：Linux 内核（AF_ALG / 加密子系统）
• 类别：释放后使用 / 写时复制损坏