🧬 ROSN-LR5 – 内核 LPE PoC 与缓解工具包（CVE-2026-31431）

针对 Linux 系统中 CVE-2026-31431 漏洞的攻防工具。
它将本地权限提升（LPE）的概念验证与用于检查并临时缓解基于 AF_ALG 攻击向量的实用程序相结合。

⚖️ 仅供道德使用：本软件仅用于教育和安全审计目的。只能在您自己的系统或已获得明确授权的系统上运行。作者不对滥用行为负责。

✳️ 功能特性

🔥 LPE 利用

• 完整的 PoC，通过操纵 AF_ALG 套接字将权限提升至 root。
• 使用 os.splice() 注入载荷，并通过 zlib 对 /usr/bin/su 进行解压缩。
• 利用完成后获得持久的 root shell。

🛡️ 缓解措施

• 系统状态检查：
  • algif_aead 模块的可用性和加载状态。
  • /etc/modprobe.d/disable-algif.conf 中锁定文件的存在情况。
  • 操作系统和内核信息。
• 应用临时缓解措施（需要 root）：
  • 创建锁定文件 install algif_aead /bin/false。
  • 尝试使用 rmmod 卸载模块。
  • 在官方内核补丁应用前进行遏制。
• 移除缓解措施（需要 root）：
  • 删除锁定文件以恢复模块的正常加载。

🔍 权限审计

• 显示 UID、用户、用户组以及 sudo 或 wheel 组成员资格。

🧪 系统要求

• 操作系统：Linux（任何内核可能受影响的发行版）。
• Python：3.8 或更高版本。
• 权限：
  • 利用：仅需对 /usr/bin/su 的读取权限。
  • 缓解措施（应用/移除）：需要 root（sudo）。

📦 安装

克隆仓库并进入目录：

git clone https://github.com/ROSNLR5/MitigationToolkit-ROSN-LR5-Full.git
cd MitigationToolkit-ROSN-LR5-Full
chmod +x rosnlr5_full.py

🚀 使用方法

使用 Python 3 运行脚本：

python3 rosnlr5_full.py

主菜单提供四个选项：

1. 审计用户权限 – 当前会话的基本信息。
2. 执行 ROOT 利用（CVE-2026-31431） – 启动提权 PoC。
3. 缓解工具 – 包含检查、应用和移除缓解措施的子菜单。
4. 关于 – 工具的介绍和致谢。

🔧 缓解子菜单

在选项 3 中，您将找到：

• 检查系统状态 – 显示 algif_aead 模块是否可用/已加载，以及锁定文件是否存在。
• 应用临时缓解措施 – 创建 /etc/modprobe.d/disable-algif.conf 并卸载模块。需要 sudo。
• 移除临时缓解措施 – 删除锁定文件。需要 sudo。
• 返回主菜单。

⚠️ 关于缓解措施的重要提示

临时缓解措施不能替代内核补丁。它仅在系统更新期间阻止易受攻击模块的加载。
应用缓解措施后，建议使用您发行版的官方补丁更新内核。

👤 致谢

• 漏洞的原始研究和基础 PoC：Copyfile
• 脚本开发及缓解工具的扩展：ROSNLR5

📜 许可证

本项目无明确许可证分发。代码按“原样”提供，不附带任何保证。使用风险自负，您必须遵守当地法律。

ROSN LR5 – 理解并遏制 CVE 2026 31431