CVE-2026-31431 “Copy Fail” — Linux 内核 LPE 实验室

概述

本仓库记录了对 CVE-2026-31431（Copy Fail） 的完整实验室调查，这是 Linux 内核 algif_aead 加密模块中的一个高危本地权限提升（LPE）漏洞，于 2026 年 4 月 29 日披露。

CVSS 评分： 7.8（高危）
测试内核： 6.18.12+kali-amd64
实验日期： 2026 年 5 月 11 日

主要发现

内核 6.18.12+kali-amd64 确认 存在漏洞
algif_aead 按需自动加载 — 静态时不存在
/etc/passwd 页缓存覆盖将 uid=1000 提升至 uid=0
su kali 失败（PAM 通过 loginuid 重新验证）
sudo -u root /bin/bash 成功 — 获得 root shell
磁盘上零痕迹 — 绕过文件完整性监控
blacklist 指令不足 — 需要 install /bin/false
通过安全检测器确认缓解措施有效

缓解措施

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true
modprobe -n -v algif_aead   # 验证：应显示 "install /bin/false"

已修补的内核版本： 6.18.22+ / 6.19.12+ / 7.0+

免责声明

本仓库仅用于教育和防御性安全研究目的。所有测试均在隔离的、研究者自有的虚拟机上执行。请勿将任何这些工具用于您不拥有或未经明确书面授权测试的系统。

文件	描述
`CVE-2026-31431_Copy_Fail_Lab_Documentation_v2.md`	包含所有步骤和发现的完整实验报告
`screenshots/`	实时实验测试的终端截图
`test_cve_2026_31431.py`	安全的非破坏性漏洞检测器
`exploit_cve_2026_31431.py`	PoC 漏洞利用（仅供研究参考）

CVE-2026-31431-CopyFail-Lab

最受欢迎