Weekly-Breach-Investigation--006

复制失败漏洞（CVE-2026-31431） 概述 Linux 内核中存在一个高严重性的本地权限提升漏洞，允许非特权用户通过破坏内存页缓存来获取 root 权限。自 2017 年以来影响各 Linux 发行版，并对云和容器化环境构成严重风险。 检测 已加入 CISA KEV 目录（2026 年 5 月） 已在野外观察到利用行为 已有 Python、Go 和 Rust 版本的 PoC MITRE ATT&CK 映射 权限提升：滥用权限提升控制机制（T1548） 权限提升：访问令牌操纵（T1134） 执行：命令和脚本解释器（T1059） 防御规避：伪装 / 合法系统调用（T1036） 缓解措...

CVE-2026-31431-Verificador-Exploit

CVE-2026-31431 - Linux Kernel 权限提升漏洞利用 描述 针对 CVE-2026-31431 漏洞的功能性利用程序，通过利用内核 AFALG 加密子系统与 splice 系统调用相结合的缺陷，可在 Linux 系统上实现本地权限提升。 特性 利用前完整验证漏洞是否存在 针对不同目标的多重载荷（SUID 二进制文件和 /etc/passwd） 彩色界面与进度条 可选清理 page cache 非持久性利用（仅修改内存 RAM） 要求 存在漏洞的 Linux 内核系统 已加载 algifaead 模块 可用的 authencesn 算法 Python 3.x...

PATCH-CVE-2026-31431-Ubuntu_Debian

🛡️ CVE-2026-31431（复制失败）缓解方案 - Linux 内核 本仓库包含用于在 Ubuntu 系统上消除关键漏洞 CVE-2026-31431 （代号 "Copy Fail" ）的脚本。 !IMPORTANT 兼容性： 这些脚本专为 Ubuntu Server 24.04 LTS 定制并经过测试。虽然其逻辑在其他发行版上类似，但尚未在 Debian 或其他 Linux 发行版上进行测试。 📋 前提条件与安装 在应用补丁之前，请下载官方检测脚本（由 rootsecdev 开发），以验证您系统的当前状态： root@kitploit: 下载检测脚本 wget...

Copy-Fail

CVE-2026-31431 – “Copy Fail” 可达性检测器 一个简单、安全的 Python 脚本，用于判断 Linux 系统是否受 CVE-2026-31431 （“Copy Fail”）影响。这是一个影响自内核 4.14 以来所有主要发行版的本地权限提升漏洞。 ⚠️ 什么是 Copy Fail？ CVE-2026-31431 是 Linux 内核 algifaead 加密套接字模块中的一个直线逻辑缺陷。通过将 AFALG 套接字与 splice 结合使用，非特权攻击者可以覆盖 setuid 二进制文件页缓存中的 4 个字节并获得 root 权限。 属性| 详情 ---|---...

CVE-2026-31431-REVSHELL

root@kitploit: █▀▀ ▄▀█ █ █ █▀█ █▀█ █▀█ ▀█▀ █▀░ █▀█ █ █▄▄ █▀▄ █▄█ █▄█ ░█░ CVE-2026-31431 • Linux 内核 LPE → Root 反向 Shell 概述 FailRoot 是一个针对 CVE-2026-31431 的武器化利用程序——该漏洞是 Linux 内核 crypto: algifaead 子系统中的越界写入。 它将权限提升 与守护进程化的 root 反向 Shell （带完整 PTY）串联在一起： root@kitploit: AFALG + splice → 4 字节页缓存写入 → 修补...

SG-2026-0024

Dirty Frag 原始 PoC CVE-2026-43284 XFRM/ESP 与 CVE-2026-43500 RxRPC/RXKAD 的可读 N4C 演示程序。 该 PoC 回答一个问题：非特权进程能否通过共享的skbuff 片段更改 root 拥有的只读文件的页缓存？ 它不会覆盖 /usr/bin/su 或 /etc/passwd、安装载荷、调用 PAM/NSS 或启动 shell。完整的公开漏洞利用仍保留在 exploit 分支上。 文件 dirtyfrag-poc.c — 两个页缓存原语和一个小型 CLI。 prepare-lab.sh — 创建两个无害的 root...

CVE-2026-31431

Copy Fail（CVE-2026-31431）——综合技术分析报告 1. 漏洞概述 漏洞名称： Copy Fail CVE 标识符： CVE-2026-31431 发现者/作者： Xint 代码研究团队（基于 Theori 研究员 Taeyang Lee 的初步基础研究）。 "Copy Fail" 是 Linux 内核 authencesn 加密模板中的一个严重逻辑漏洞。它允许非特权本地用户对系统上任何可读文件的页缓存执行确定性的、可控的 4 字节写入。通过针对 setuid 二进制文件（如 /usr/bin/su），攻击者可以修改内存中的执行缓存，从而将权限提升至 Root（UID...

linux-copy-fail-CVE-2026-31431

Linux Copy-Fail 分析（CVE-2026-31431）🛡️ 本仓库包含对 CVE-2026-31431 漏洞（俗称 "Copy-Fail"）的深入分析、概念验证（PoC）及实验室测试结果。 Copy-Fail 利用了 Linux 内核 Crypto API（AFALG）与 splice 系统调用相结合的逻辑缺陷。它允许非特权本地攻击者执行页缓存投毒（Page Cache Poisoning），从而实现本地权限提升（LPE）。 🧠 技术概述：页缓存投毒 与修改磁盘上文件的传统漏洞利用不同，Copy-Fail...

CVE-2026-31431

CVE-2026-31431 — Copy Fail 本地权限提升 存在于 Linux 内核的 authencesn 加密模板中，通过 AFALG + splice 触发。 由 Theori（Xint Code）于 2026 年 4 月 29 日披露。 概述 字段| 详情 ---|--- CVE| CVE-2026-31431 别名| Copy Fail CVSS| 7.8 高危 类型| 本地权限提升（LPE） 引入版本| Linux 内核 4.14（2017 年，提交 72548b093ee3） 修复版本| 主线提交 a664bf3d603d 前提条件| 本地非特权 shell 访问权...

cve-2026-31431

CVE-2026-31431 — Repositorio de Investigación "Copy Fail" Una escalada de privilegios local en Linux 100% fiable que afecta a todas las distribuciones principales desde 2017. Un único error lógico en authencesn, encadenado a través de AFALG y splice en una escritura de 4 bytes en la caché de...

CVE-2026-31431-Advanced-Exploit

CVE-2026-31431 — Copy Fail Linux 内核页缓存越权写入漏洞 AFALG AEAD 散列表链错误 概述 Linux 内核 algifaead 接口存在一个漏洞，允许无特权用户 向任意可读文件 的页缓存（page cache）写入任意数据——完全绕过文件权限检查、强制访问控制（MAC）以及完整性校验。 磁盘上的文件内容不会改变，但此后所有读取该文件的进程（包括 SUID 程序、动态链接器、execve 等）都会看到攻击者篡改后的版本，直到页缓存被回收。 影响范围 项目| 说明 ---|--- 子系统| crypto/algifaead.c 算法|...

CVE-2026-31431-exploit

CVE-2026-31431 严重警告 这两份 Linux 本地提权利用实现都属于运行时破坏性 利用。 它们会覆写高权限目标文件的运行时 page-cache 视图 ，例如： su PAM 配置文件 patch 模式里手工指定的文件 这通常不是常规意义上的持久化落盘改文件，但它会立即改变运行时行为 ，并直接影响认证 / 提权流程。 当前仓库不提供 真正无破坏性的 root 模式。 文件 copyfailrawsuroot.c copyfailportablelpe.c 两者都只面向 Linux 。 后续更新中可能会补充适配更多架构的预编译版本。 编译...

CVE-2026-31431

CVE-2026-31431 — “Copy Fail” Linux 内核 crypto algifaead 子系统中的本地权限提升漏洞。 概述 CVE-2026-31431，代号“Copy Fail”，是 Linux 内核 authencesn 加密模板（algifaead）中的一个逻辑缺陷。它允许非特权本地用户对任何可读文件的页缓存执行受控的 4 字节写入，从而可被利用来修改 setuid 二进制文件并获得 root 权限。 CVSS： 7.8（高危） 受影响范围： 自 2017 年以来发布的所有主流 Linux 内核 利用方式： 一个 732 字节的 Python...

CVE-2026-31431-CopyFail-static-ELF--POC

CVE-2026-31431: Copy Fail - 587字节静态ELF 这个漏洞不是我发现的。功劳归于 Xint Code / Theori。 这个仓库是我对如何将漏洞利用做到尽可能小的尝试——一个 手工编写的x8664 ELF，仅用587字节完成完整的本地提权。没有libc，没有 链接器，没有运行时。只有NASM和固执。 实际上，内核通过AFALG + splice将写入原语交给你， 可以写入任何可读文件的页缓存。将其指向setuid 二进制的入口点，写入shellcode，执行该二进制，获得root。 关于体积的参考：原始的公开Copy Fail文章附带了一个微型...

CVE-2026-53365

CVE-2026-53365 — VsockDrop:iouring + AFVSOCK 零拷贝引用计数下溢,Page-Cache 改写提权 HackSpeak 分发镜像。本仓库为 MaherAzzouzi/vsockdrop 的分发镜像 ,代码与上游一致;上游未附 LICENSE,镜像按分发惯例采用 MIT License,Copyright c 2026 HackSpeak ,源码版权归原作者 MaherAzzouzi。 ⚠️ 包含完整本地提权LPEexploit ——会修改 /usr/bin/su 的 page-cacheCoW...

CVE-2026-31431-Metasploit-exploit

CVE-2026-31431 - Linux内核AFALG "Copy Fail"本地权限提升 一个自动化的Metasploit后渗透利用模块，利用 CVE-2026-31431 （俗称 "Copy Fail" ）在易受攻击的Linux内核（版本 4.14 到 6.19.12）上执行本地权限提升（LPE）。 描述 该模块利用了Linux内核加密子系统（AFALG 接口的 algifaead 模块）中的逻辑缺陷。由于不当的就地内存优化，非特权本地用户可以使用 splice 系统调用将只读系统二进制文件（如 /usr/bin/su 或 /usr/bin/sudo）映射到 AFALG...

CVE-2026-31431

🐞 CVE-2026-31431 - Copy Fail authencesn 中的一个逻辑缺陷，通过 AFALG 和 splice 串联，最终转化为对系统上任意可读文件页缓存的受控 4 字节写入。无需竞态条件、无需偏移、无需编译载荷。自 2017 年以来，同一份 732 字节脚本即可在每一个 Linux 发行版上获得 root 权限。 📑 目录 概述 根因分析 📂 AFALG + splice 原语 2017 年的原地优化 authencesn 中的越界写入 三个无害的变更 → 一个严重漏洞 遍历 scatterlist 直至页缓存页 影响 受影响发行版 验证 - 我是否受影响？ 漏洞...

CVE-2026-43284

🚨 CVE-2026-43284 — 脏片段 🚨 通用Linux内核本地权限提升 概述 字段| 详情 ---|--- CVE| CVE-2026-43284 xfrm/ESP + CVE-2026-43500 RxRPC 昵称| 脏片段 CVSS| 7.8 高 类型| 本地权限提升 LPE 引入时间| Linux内核 4.10 2017年，提交 cac2661c53f3 修复时间| 主线提交 f4c50a4034e6 / aa54b1d27fe0 所需条件| 本地无特权 shell 访问 远程向量| 无 — 仅本地 披露时间| 2026年5月7日，由 Hyunwoo Kim @v4bel...

CVE-2022-0847-Dirty-Pipe-

CVE-2022-0847-Dirty-Pipe- 这是一个面对Linux系统提权问题的仓库，以及关于“脏管道”问题的新闻。 Max Kellermann，CM4all（一家德国网络托管公司）的开发人员，在2022年初发现了这个问题，但并非通过漏洞检查。他在调试时得知客户对服务器日志自发损坏感到不满。...

CVE-2026-31431-Check

CVE-2026-31431 Copy Fail 漏洞排查脚本 漏洞概述 CVE-2026-31431 Copy Fail 是 Linux 内核本地提权漏洞，通过 AFALG 套接字（address family 38）结合 splice 零拷贝系统调用，绕过文件写权限篡改页缓存（page cache），实现无写权限的 SUID 二进制文件篡改，进而获取 root 权限。 攻击链 root@kitploit: socketAFALG, SOCKSEQPACKET, 0 创建 AFALG 套接字 - bindauthencesnhmacsha256,cbcaes 绑定 AEAD 加密模板 ...