CVE-2026-31431

CVE-2026-31431 - 概念验证 Linux algifaead 页缓存写入至 root - 本地权限提升漏洞利用 技术分析 https://websec.net/blog/cve-2026-31431-linux-algifaead-page-cache-write-to-root-69f38a4ccddd2db1f520f170 说明 我们尚未对该 PoC 进行全面测试，其基于公开参考资料编写 如有任何问题请告知我们：[email protected] 此 PoC 仅用于授权测试、防御及教育性安全研究目的，使用此漏洞利用即表示您同意对使用方式承担全部责任！ 常见问...

copy-fail-CVE-2026-31431

漏洞描述 漏洞成因 Linux 内核加密模块 authencesn在 2017 年引入了一处针对 AEAD（认证加密）操作的原地（in-place）优化，该优化导致在特定条件下，页缓存（page cache）中的只读页面可以被错误地放入可写目标散列表（scatterlist）。攻击者通过 AFALG 套接字暴露的内核加密 API，结合 splice系统调用，利用上述逻辑缺陷实现对 setuid 二进制文件（如 /usr/bin/su）页缓存的 4 字节任意写入，从而篡改程序逻辑，获取 root shell。 整个利用过程为直线逻辑，无需竞争窗口（race...

CVE-2026-31431-PoC

Copy Fail - Python 3.9 PoC（CVE-2026-31431） 公开的 Copy Fail 漏洞利用程序与 Python 3.9 不兼容，本版本兼容 Python 3.9。 原始版本通过将不可用的 os.splice 替换为轻量级 ctypes 填充实现进行了修改。 🚨 法律免责声明（CFAA 及相关法律） 本软件仅用于教育和授权安全研究目的。 下载、使用或查看此代码即表示您同意以下条款： 您仅 可在您拥有 的系统上，或已获得所有者明确书面授权 的系统上使用此漏洞利用程序。 未经许可对任何系统进行未授权访问、修改或使用是非法的 ，并可能违反：...

cve-2026-31431-detection

CVE-2026-31431 “Copy Fail” — 防御性检测包 一套可直接用于生产环境的检测规则与研判指南，针对 CVE-2026-31431——由 Theori（Xint Code Research）披露的 Linux 内核 algifaead 加密接口中的本地权限提升漏洞。该漏洞利用原地 AEAD 优化，允许非特权用户对任意可读文件的 页缓存执行受控写入。本仓库提供 Sigma 规则（包括一条行为链规则）、auditd 配置、 适用于容器的 Falco 规则、KQL 与 Elastic EQL 狩猎查询，以及一份逐步分析研判手册。 不含任何漏洞利用代码——纯防御性内容，面向...

CVE-2026-31431-CopyFail-Lab

CVE-2026-31431 “Copy Fail” — Linux 内核 LPE 实验室 概述 本仓库记录了对 CVE-2026-31431（Copy Fail） 的完整实验室调查， 这是 Linux 内核 algifaead 加密模块中的一个高危本地权限提升（LPE）漏洞， 于 2026 年 4 月 29 日披露。 CVSS 评分： 7.8（高危） 测试内核： 6.18.12+kali-amd64 实验日期： 2026 年 5 月 11 日 目录 文件| 描述 ---|--- CVE-2026-31431CopyFailLabDocumentationv2.md|...

CVE-2026-31431-CopyFail-Universal-LPE

CVE-2026-31431 “Copy Fail” — 通用本地提权漏洞利用 Linux 内核页缓存 4 字节任意写入 → 本地权限提升 多种利用方式：动态 ELF 入口点覆盖、完整二进制替换、兼容 Python 3.x 的 ctypes splice 回退方案。 这是什么？ CVE-2026-31431 是 Linux 内核 AFALG 加密子系统中的一个漏洞。通过滥用 splice + authencesn 原地解密，非特权用户可以在内核的页缓存 （所有文件映射内存所使用的同一缓存）中任意偏移处写入 4 字节 。 这意味着： 无竞态条件 — 单线程、确定性执行 无需特殊权限 —...

copyfail-rs

copyfail-rs Copy Fail 漏洞利用（CVE-2026-31431）的 Rust 实现，这是一个关键漏洞，通过链式利用 AFALG 和 splice 实现 4 字节页缓存写入，从而在主流 Linux 发行版上实现本地权限提升。 基于 Xint Code 的研究和 PoC。 免责声明 !CAUTION 本项目仅用于教育和研究目的 。在您不拥有或未经明确许可的系统上运行此漏洞利用程序是非法且不道德的。请负责任地使用此代码，以理解和防御类似的漏洞。 特性 纯 Rust 实现 ：高性能、内存安全的原始 Python PoC 实现。 动态 ELF 构建器...

CVE-2026-31431

CVE-2026-31431 - Copy Fail Copy Fail 是 Linux 内核加密子系统中的一个逻辑漏洞（CVE-2026-31431）。2017 年对 algifaead.c 的一项优化意外地将页缓存页面放入了可写的 scatterlist 中。authencesn AEAD 算法在解密过程中会在输出边界之外写入 4 个临时字节，这些字节通过就地（in-place）scatterlist 直接落入攻击者 splice 进来的任何文件的内核缓存副本中。这使得无特权的本地用户能够对任何可读文件的页缓存进行受控的 4 字节写入，从而通过破坏 setuid 二进制文件轻松提权至...

copy-fail-CVE-2026-31431

CVE-2026-31431 — Copy Fail 732 字节。任何发行版。Root。 Linux 内核 authencesn 加密模板中的一个直线逻辑缺陷，使无特权的本地用户能够对任何可读文件（包括 setuid 二进制文件）的页缓存执行精确、受控的 4 字节写入。无需竞争条件。无需重试。无需重新编译。自 2017 年以来发布的每个主流 Linux 发行版均可获得 root 权限。 📄 技术分析文章 · 🔗 内核补丁 · 🛡️ CVSS：严重 已测试的发行版 发行版| 内核版本 ---|--- Ubuntu 24.04 LTS| 6.17.0-1007-aws Amazon Linu...

copyfail

概述 Copy Fail CVE-2026-31431 — 是 Linux 内核中的一个逻辑漏洞，允许本地非特权用户将权限提升至超级用户（root）。该漏洞属于 本地权限提升（Local Privilege Escalation, LPE） 类别，不需要复杂的利用条件（如竞态条件或内存地址猜测），并且可以在 2017 年之后发布的大多数 Linux 发行版上"开箱即用"。 本仓库包含 原始 Python 漏洞利用程序的 C 语言移植版本 ，带有详细注释，适用于静态编译和在最小化环境中使用。 目录 漏洞 漏洞本质 利用机制 受影响系统 漏洞利用程序 C 移植版特点 编译 使用 工作原理...

CVE-2026-31431

CVE-2026-31431：Copy Fail PoC + ARM64 验证 Copy Fail 是 Theori/Xint 发布的一个 Linux 本地提权漏洞，编号为 CVE-2026-31431。项目页面描述了 authescesn 中的一个逻辑漏洞，可通过 AFALG 和 splice 触发，从而对 setuid 二进制文件产生一次小的页缓存写入。在受影响的系统上，非特权本地用户可以获取 root 权限。 本仓库保留了上游概念验证代码的副本，并添加了一个在 Ubuntu 25.10 ARM 上测试过的 ARM64 变体。 内容 文件| 用途 ---|---...

Copy-Fail-Exploit-CVE-2026-31431

Copy Fail CVE-2026-31431 – 漏洞利用使用指南 ⚠️ 免责声明 本内容仅供教育和授权安全测试使用。切勿 在未经明确许可的系统上运行此漏洞。 📌 概述 Copy Fail CVE-2026-31431 是一个影响 Linux 本地权限提升（LPE）的漏洞，通过 AFALG 影响内核加密 API。 它允许非特权用户覆盖 SUID 二进制文件（例如 /usr/bin/su）的页缓存数据，从而获得 root 访问权限。 🧠 要求 系统要求 Linux 内核（存在漏洞 – 取决于补丁状态） 已启用 AFALG 已加载 algifaead 模块 Python 漏洞利用要求...

COPY-FAIL-Detection-with-Wazuh-4.14.4

使用 Wazuh 4.14.4 检测 COPY FAIL - CVE-2026-31431 针对 Copy Fail 内核本地提权漏洞的检测工程 · Ubuntu / RHEL / SUSE / Amazon Linux 2023 / Kali 什么是 Copy Fail？ CVE-2026-31431 是 Linux 内核 authencesn 加密模板中的一个逻辑缺陷。它允许任何无特权的本地用户对系统上任何可读文件的页缓存执行确定性的、受控的 4 字节写入 - 无需竞态条件、内核偏移或提升权限。 一个仅使用标准库模块（os、socket、zlib）的 732 字节 Python...

copy-fail-mitigate-no-reboot

copy-fail-mitigate 针对 Copy Fail / CVE-2026-31431 的最小化免重启缓解辅助脚本。 该脚本会禁用存在漏洞的 algifaead 模块路径，并尝试立即卸载该模块。同时，它还会尽力对 /usr/bin/su 执行页缓存回收。 这只是缓解措施，并非内核修复。请尽快安装厂商提供的已修补内核。 功能说明 该脚本执行 Copy Fail 公开公告所建议的缓解操作： root@kitploit: echo "install algifaead /bin/false" /etc/modprobe.d/disable-algif.conf rmmod...

CVE-2026-31431

CVE-2026-31431 — “Copy Fail” 本地权限提升 概述 CVE-2026-31431 是 Linux 内核 algifaead 子系统中的一个本地权限提升漏洞。authencesn AEAD 实现通过 splice2 执行就地解密，将页缓存页放入目标散列列表。在验证认证标签之前，AAD 中的一个 4 字节值（seqnolo）会被写回该页缓存页——从而允许非特权用户覆盖任意世界可读文件的内核页缓存中的任意字节。 受影响版本起始于： 内核 4.14（2017 年 8 月）——当 authencesn 被引入 algifaead 时 已发布修复的版本： 仅 6.12、6....

dirtyfrag-patches

Dirty Frag — 内核补丁 针对由 Hyunwoo Kim @v4bel 发现的 Dirty Frag 漏洞类别的补丁系列。 Dirty Frag 允许非特权本地用户覆盖只读文件（例如 /usr/bin/su、/etc/passwd）页缓存中的任意字节，从而在所有主流 Linux 发行版上实现本地权限提升至 root 。 ⚠️ 致谢声明 本仓库中的补丁并非本仓库维护者编写。 CVE-2026-43284（ESP 补丁）： 由 Hyunwoo Kim @v4bel 和 Kuan-Ting Chen 编写。已合并至 Linux 内核主线，提交号为 f4c50a4034e6。...

copyfailautopatch

copyfailautopatch 检测并（可选）缓解 Linux 主机上的 CVE-2026-31431 （“Copy Fail”）漏洞。 该漏洞是一种可通过 AFALG 套接字族使用 authencesnhmacsha256,cbcaes AEAD 变换触达的页缓存写入原语。此脚本复现了 Theori 演示的相同原语，但目标是自建的临时文件而非 setuid 二进制文件，因此测试本身是非破坏性的。 如果内核存在漏洞，脚本会提供缓解措施：通过 /etc/modprobe.d/disable-algif-aead.conf 将 algifaead...

CVE-2026-31431-Copy-Fail---Vulnerability-Detection-Script

CVE-2026-31431 — Copy Fail — 漏洞检测脚本 仅检测。可用的 PoC 已存在于 copy.fail/exploit。 此脚本面向系统管理员和安全团队，用于确定自身是否受影响——或在修补后是否仍然受影响。 这是什么？ 2026年4月29日，一个名为 Copy Fail （CVE-2026-31431）的漏洞由 Xint 代码研究团队公开披露。这是一个逻辑缺陷，自大约 2017年 起便悄然存在于 Linux 内核中——近十年之久——它允许任何非特权本地用户获取 root 权限。 不是"在特定条件下、靠点运气和顺风才能获取 root"。而是……直接获取...

copy-fail-CVE-2026-31431-IOC

copyfail-detect 针对 CVE-2026-31431（“Copy Fail”）的检测工具包，这是一种 Linux 内核本地权限提升技术，可在不修改磁盘上文件的情况下破坏页缓存数据。 存在原因 Copy Fail 可以绕过传统的文件完整性监控，因为磁盘上的文件并未被修改。本仓库提供基于 auditd、eBPF、页缓存比对、Sigma 规则和响应文档的分层检测方案。 eBPF 监控器是保真度最高的检测器：它监视 AFALG 活动，提取 authencesn 绑定尝试，跟踪可疑的 splice 用法，并将这些事件关联为高置信度的漏洞利用链告警。 快速开始...

CVE-2026-31431-Linux-Copy-Fail

CVE-2026-31431 - Linux Copy-Fail 漏洞利用（Rust） 一个针对 CVE-2026-31431（Copy-Fail）的本地权限提升漏洞利用的 Rust 实现。 它允许执行自定义 shellcode（例如 Meterpreter ） 简介 Xint 披露了 CVE-2026-31431，这是一个任意页缓存写入漏洞，通过链式利用 AFALG 和 splice 实现 4 字节写入原语。 来源：Copy Fail: 732 Bytes to Root on Every Major Linux Distribution 免责声明...