🔴 CVE-2026-31431 — Copy Fail

Linux内核本地权限提升（LPE）——防御性研究仓库

📖 介绍

Copy Fail (CVE-2026-31431) 是一种影响Linux内核的本地权限提升（LPE）漏洞，通过AF_ALG、splice()和authencesn机制实现对页缓存的受控破坏。

本仓库的目标是：

• 记录漏洞的内部机制，
• 解释完整的利用逻辑链，
• 介绍防御性影响，
• 提供检测策略，
• 给出缓解措施，
• 提升对Linux内核安全的认知。

⚠️ 本项目严格用于教育、防御和安全研究目的。

📑 目录

• 概述
• 漏洞机制
• 攻击面
• 实验室演示
• 检测与入侵指标
• 缓解措施
• 时间线
• 参考
• 法律声明

🧪 研究框架

本仓库中展示的所有演示均在隔离且受控的实验室环境中完成。

未经明确授权，禁止在任何第三方系统上使用。

🔍 概述

🧠 为什么这个漏洞重要

可类比：

• Dirty Cow (CVE-2016-5195)
• Dirty Pipe (CVE-2022-0847)
• 现代页缓存破坏原语

🧬 简化利用链

用户空间
    ↓
AF_ALG 套接字
    ↓
splice()
    ↓
页缓存引用
    ↓
authencesn 原地写入
    ↓
受控的4字节覆盖
    ↓
execve()
    ↓
权限提升

⚙️ 漏洞机制

技术时间线

2011 → authencesn 被加入内核
2015 → AF_ALG 获得 AEAD + splice() 支持
2017 → 在 algif_aead.c 中引入原地优化
2026 → 发现并发布官方补丁

🔩 涉及组件

AF_ALG

套接字接口，向用户空间暴露Linux内核的加密原语。

splice()

一种无拷贝地在文件描述符之间传输页面的机制。

authencesn

IPsec ESN的AEAD模板，将目标缓冲区用作临时工作空间。

🧨 根本原因

在algif_aead.c中引入的优化允许通过sg_chain()将页缓存的页面直接链接到目标分散列表中。

输入SGL：   AAD || 密文 || 标签（页缓存）
                                     ↑
输出SGL：  AAD || 密文 ------+

authencesn随后直接向目标文件页缓存中的页面写入数据。

🎯 攻击面

🖥️ 受影响系统

🧪 演示（仅限实验室）

⚠️ 仅限于隔离的测试环境。

前置检查

uname -r
lsmod | grep algif_aead
python3 --version

克隆PoC

git clone https://github.com/theori-io/copy-fail-CVE-2026-31431.git
cd copy-fail-CVE-2026-31431

执行

python3 copy_fail_exp.py

🛡️ 检测与入侵指标

Auditd

auditctl -a always,exit -F arch=b64 -S socket -F a0=38 -k af_alg_socket
auditctl -a always,exit -F arch=b64 -S splice -k splice_monitor

行为检测

ps aux | awk '$1 == "root"'
ss -tlnp

防御性监控

• eBPF监控
• Falco
• Wazuh
• EDR内存检查
• 页缓存异常检测

🛡️ 缓解措施

禁用algif_aead

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo rmmod algif_aead

seccomp限制

{
  "defaultAction": "SCMP_ACT_ALLOW",
  "syscalls": [
    {
      "names": ["socket"],
      "action": "SCMP_ACT_ERRNO",
      "args": [
        { "index": 0, "value": 38, "op": "SCMP_CMP_EQ" }
      ]
    }
  ]
}

✅ 官方补丁

补丁a664bf3d603d删除了algif_aead.c中易受攻击的原地操作。

sudo apt update && sudo apt upgrade
sudo reboot

📅 时间线

🔗 参考

📈 SEO / 关键词

linux kernel security, CVE-2026-31431, copy fail, page cache, AF_ALG, authencesn, linux LPE, kernel exploit, linux hardening, security research, dirty pipe, kernel mitigation

⚖️ 法律声明

本仓库仅用于以下目的：

• 防御性研究，
• 授权实验室，
• 网络安全教育，
• Linux安全分析。

任何未经授权的使用均属违法。

👤 致谢

原始研究

• theori.io
• Linux安全研究社区

法语项目

• @Maxime288

⭐ 支持Linux内核安全研究

🛡️ 认知提升 • 缓解措施 • 防御性研究
🔁 向网络安全社区分享本项目
⭐ 支持Linux安全研究

---