Copy-Fail-CVE-2026-31431

Linux 内核漏洞 CVE-2026-31431（又称 Copy Fail）的概念验证漏洞复现。

致谢：Copy Fail

受影响系统

• Linux 内核版本 4.14 及更高版本
• 自 2017 年至补丁部署期间发布的大多数主流发行版（Ubuntu、Debian、Fedora、RHEL...）

与原始漏洞利用的区别

未压缩且可读的代码

• 原始漏洞利用代码较为紧凑
• 此版本已完全展开

备份与恢复二进制文件

• 创建目标二进制文件（例如 /usr/bin/su）的备份
• 通过哈希验证完整性
• 执行后恢复原始状态（成功的情况下）

概念验证

git clone https://github.com/MohamedKarrab/Copy-Fail-CVE-2026-31431.git
cd Copy-Fail-CVE-2026-31431

# 默认目标为 /usr/bin/su
python fail.py

# 或任何 setuid-root 程序（passwd、mount、chsh、sudo、pkexec...）
python fail.py /usr/bin/passwd

警告

若漏洞利用失败，目标二进制文件可能无法恢复至原始状态。可通过以下方式修复：

• 直接重启设备。重启会清除页缓存（该漏洞利用不会修改磁盘上的二进制文件）。

• 或者，从可信软件包中恢复干净的 /usr/bin/su（或所选二进制文件）。 Debian / Ubuntu：

sudo apt-get install --reinstall util-linux

Fedora / RHEL：

sudo dnf reinstall util-linux

Arch：

sudo pacman -S util-linux

技术概述

此漏洞利用滥用 AF_ALG AEAD 实现，向 /usr/bin/su（一个 setuid-root 二进制文件）的内核页缓存中写入任意 4 字节数据块。

• 使用无特权的 AF_ALG 套接字 + 精心构造的 sendmsg/splice 配对，将数据注入 AES-CBC-HMAC 处理过程
• 利用分散/聚集边界漏洞，使解密后的 AAD 字节落入缓存的二进制文件中
• 在不触碰磁盘的情况下，破坏 /usr/bin/su 内存中的 .text 段

最后，执行 /usr/bin/su 会加载被污染的页缓存，由于 setuid 特性，注入的代码将以 root 权限运行。

缓解措施

• 更新至已修补的内核版本
• 阻止创建 AF_ALG 套接字：

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf
rmmod algif_aead 2>/dev/null

免责声明

• 此代码仅用于教育和测试目的。
• 仅可在您拥有或已获得明确许可的系统上使用。
• 本人不对滥用或造成的损害负责。

参考

• NVD - CVE-2026-31431
• Copy Fail: 732 Bytes to Root