reFlutter

このフレームワークは、Flutterアプリのリバースエンジニアリングを支援します。パッチが適用されたFlutterライブラリのバージョン（すでにコンパイル済みでアプリの再パッケージ化に利用可能）を使用します。このライブラリはスナップショットのデシリアライズプロセスが変更されており、動的解析を便利に行うことができます。 主な機能: socket.cc はトラフィックの監視と傍受のためにパッチが適用されています。 dart.cc はクラス、関数、一部のフィールドを出力するように変更されています。 正常なコンパイルのための軽微な変更を含みます。 独自のパッチを実装したい場合は、特別に作成された...

RockyLinux 9 : gvfs (RLSA-2026:74370)

The remote RockyLinux 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RLSA-2026:74370 advisory. gvfs: SFTP: heap-based buffer overflow in readreply CVE-2026-84268 gvfs: gvfs-admin socket ownership race permits local root CVE-2026-88924 Tenable has...

tomcat: Apache Tomcat: Local information disclosure via Unix domain socket TOCTOU race condition

A flaw was found in Apache Tomcat. A Time-of-check Time-of-use TOCTOU race condition exists when creating Unix domain sockets. This vulnerability allows an unauthorized local user to exploit the timing window to gain access to the Unix domain socket. This could lead to information disclosure or...

CVE-2026-31431-Check

CVE-2026-31431 Copy Fail 漏洞排查脚本 漏洞概述 CVE-2026-31431 Copy Fail 是 Linux 内核本地提权漏洞，通过 AFALG 套接字（address family 38）结合 splice 零拷贝系统调用，绕过文件写权限篡改页缓存（page cache），实现无写权限的 SUID 二进制文件篡改，进而获取 root 权限。 攻击链 socketAFALG, SOCKSEQPACKET, 0 创建 AFALG 套接字 - bindauthencesnhmacsha256,cbcaes 绑定 AEAD 加密模板 - sendmsgAEAD 操...

copy-fail-mitigation-with-bpftrace

Copy Fail 利用eBPF,一行代码修复 CVE-2026-31431, 又名 Copy Fail, 可以通过bpftrace命令，用一行代码进行修复，无须编译kpatch，无须cargo编译 English Version|中文版本 思路 要利用该漏洞，需要绑定到AFALG 接口，并且使用加密算法authencesn ，而这是绝大多数程序都不会用到的。这也就是修复代码可以发挥作用的地方。 文件列表 ├── kfunc.sh ├── kprobe.sh ├── tests │ └── bindafalg.py └── tracepoint.sh 为什么要这么多文件...

CVE-2026-31431-mitigation-suite

AFALG 防御框架 一个针对 Linux AFALG（地址族算法，族 38）子系统的内核运行时防御框架。专为运行企业级 Linux 集群的安全运营中心（SOC）打造，在这些环境中，零信任必须 深入 内核，而非止步于网络边缘。 为什么 AFALG 对 SOC 至关重要 AFALG 通过套接字接口（socketAFALG, SOCKSEQPACKET, 0）将内核加密 API 暴露给用户空间。它最初是为没有 /dev/crypto 的嵌入式系统而添加的，此后却积累了不成比例的内核 CVE 份额，因为它将内核态加密代码暴露给了非特权调用者——这是一种典型的攻击面错配。 在典型的企业构建中：...

CVE-2026-31431-Copy-Fail---Advanced-LPE-Proof-of-Concept---C-Rewrite

CVE-2026-31431（“Copy Fail”）- 高级 LPE 概念验证 - C 语言重写 一个针对 CVE-2026-31431 的高级、逐字节精确的本地权限提升（LPE）概念验证（PoC），利用 Linux 内核加密子系统（algifaead）中的逻辑缺陷。 该仓库包含一个高度优化的 C 语言实现，通过操纵 AFALG 套接字接口和 splice 系统调用，可靠地覆盖只读的 Page Cache 内存。 漏洞概述 该漏洞被称为“Copy Fail”，允许无特权的本地攻击者强制内核将加密操作输出直接写入系统上任何文件的内存映射页中。通过针对 /usr/bin/su，该 PoC...

copy-fail-CVE-2026-31431

CVE-2026-31431 — Copy Fail Linux 内核通过 AFALG + splice 覆盖页缓存实现本地权限提升 仅限授权的安全研究、渗透测试和教育用途。 请勿对您不拥有或未经明确书面许可的系统使用。 技术分析文章 目录 描述 漏洞详情 仓库结构 快速开始 检测 环境要求 缓解措施 测试环境（可选） 参考资料 许可证 描述 CVE-2026-31431 是 Linux 内核中的一个本地权限提升（LPE）漏洞。非特权本地用户可以通过将 AFALG 套接字接口与 splice 结合使用，直接向属于 setuid 二进制的页缓存页面执行经过认证的写入，从而获得 root...

deny-af-alg-bpf

deny-af-alg-bpf 描述 一个 BPF LSM 程序，用于阻止 AFALG（Linux 内核加密 API）套接字的创建，并通过环形缓冲区将所有尝试记录到用户空间。 功能 挂载到 lsm/socketcreate 钩子 以 -EPERM 拒绝任何 socketAFALG, ... 调用 将结构化事件（pid、comm）发送到 BPF 环形缓冲区 用户空间守护进程读取环形缓冲区并记录到 stderr（由 systemd journal 收集） 组件 程序 denyafalg.bpf.c - 主要阻止逻辑，在 BPF（内核空间）中运行 denyafalg.user.c -...

CVE-2026-31431

CVE-2026-31431 “Copy Faill” CVE-2026-31431 存档与分析。 攻击源代码（测试用） 针对潜在漏洞的嗅探工具。 解决方案 禁用内核模块 echo "install algifaead /bin/false" /etc/modprobe.d/disable-algif-aead.conf 卸载已加载模块 rmmod algifaead 2/dev/null 注：针对静态编译进内核的系统（例如：RHEL/CentOS/Rocky Linux/AlmaLinux 8, 9, 10 三代产品），此缓解措施可能无法生效，建议更新官方内核补丁。 验证 python...

CVE-2026-31431-detection-defense

CVE-2026-31431：针对 iouring 绕过现有检测的检测与防御 作者 ：fz0x00、qiwuSEC 研究 针对 CVE-2026-31431（“Copy Fail”），我们通过组合三种绕过策略，展示了主流安全产品的系统性弱点：iouring 异步 I/O 路径 、进程拆分（fork + SCMRIGHTS） 以及套接字复用 。通过实证测试，我们证明这些技术可以规避几乎所有基于系统调用的检测工具。 关键发现 1. iouring 可绕过几乎所有基于系统调用的检测 iouring 通过共享内存环形缓冲区提交请求，绕过了传统的系统调用入口点。这意味着： auditd /...

CVE-2026-31431

📌 CVE-2026-31431 – 通过 AEAD 加密套接字误用实现权限提升 🧠 概述 CVE-2026-31431 是一个 Linux 权限提升漏洞，它滥用了 AFALG（内核加密 API） 接口。通过构造与 AEAD（带关联数据的认证加密）套接字的恶意交互，攻击者可以提升权限并以 root 身份执行代码。 该漏洞利用了加密套接字操作处理不当的问题，允许受控的内存操作并最终实现权限提升。 ⚠️ 影响 本地权限提升 Root shell 访问（/usr/bin/su） 影响具有易受攻击的内核加密实现的系统 🔍 技术分析 该漏洞利用程序： 创建一个 AFALG 套接字 绑定到：...

CVE-2026-31431

CVE-2026-31431 CVE-2026-31431检测和测试 0x01 Quick Start Some target environments do not have Python installed, so this privilege escalation logic was rewritten in C. 1. Compile Run the following command on your Linux machine or WSL using -static is recommended to avoid GLIBC version issues: gcc -stat...

cve-2026-31431-poc

CVE 2026-31431 POC This exploit takes advantage of a flaw in the length validation of authencesn in Linux, causing dirty pages to be written back to locations the user has no permission to access, resulting in privilege escalation. The attack principle is mainly based on this repo, with some...

wg.copyfail.patch

CVE-2026-31431 又名 Copy.Fail eBPF 解决方案 为何重要 该 CVE 允许授权用户更改任意可读文件的缓存副本，从而导致本地权限提升（即本地 root 漏洞）、沙箱/容器逃逸及其他问题。 其原理是通过创建由 algif 内核模块提供的 AFALG 套接字。 当前已知的解决方案建议禁用 algifaead 模块，但如果该模块是内置的（如 Fedora Linux、Oracle Linux 及其他基于 RHEL 的系统），则无法禁用。 此外，部分上游发行版仍未包含该补丁。 这意味着在修补内核之前，您的系统将一直处于易受攻击状态。 解决方案 本软件包为您提供两个 eB...

CVE-2026-31431

测试、修补、修复：CVE-2026-31431 测试：检查漏洞 python3 -c 'import socket;exec"try:s=socket.socketsocket.AFALG,socket.SOCKSEQPACKET,0;s.bind"aead","authencesnhmacsha256,cbcaes";print"vulnerable"\nexcept:print"not vulnerable""' 检查模块 检查模块是否已加载到内核中 lsmod | grep -q '^algifaead' && echo "loaded" || echo "not...

CVE-2025-55315-detection-playground

以下是可以针对这些服务执行的一些测试，用于观察 Kestrel 已修补版本与未修补版本在 GET/POST 路由上的不同行为。 对未修补版本执行 GET（返回 200 且套接字保持打开） printf 'GET / HTTP/1.1\r\nHost: localhost\r\nTransfer-Encoding: chunked\r\nContent-Type: text/plain\r\n\r\n2;\rxx\r\nxy\r\n0\r\n\r\n' | nc localhost 5002 对已修补版本执行 GET（返回 200 且套接字关闭） printf 'GET /...

CVE-2026-31431-Copy-Fail-Detection-Toolkit

CVE-2026-31431（复制失败）检测工具包 用于 CVE-2026-31431“复制失败”的检测与分析工具包——这是一个影响 2017 年以来各发行版的严重 Linux 本地权限提升漏洞。 漏洞概述 CVE-2026-31431 利用了 Linux 内核 algifaead 实现中的逻辑缺陷，可通过以下方式实现可靠的本地权限提升： 内核加密 API（algifaead）中的逻辑漏洞 通过 AFALG 套接字接口和 splice 系统调用进行利用 针对 setuid 二进制文件页缓存的 4 字节写入原语 100% 可靠性——无需竞态条件或特定内核偏移量 关键影响场景 容器逃逸...

cve-2026-31431

CVE-2026-31431 Copy Fail 检测与缓解工具 本项目提供一组 Bash 脚本，用于检测和缓解 CVE-2026-31431 （又称 "Copy Fail"）Linux 内核本地权限提升漏洞。 漏洞简介 CVE 编号 : CVE-2026-31431 漏洞类型 : 本地权限提升（Local Privilege Escalation） 影响组件 : Linux Kernel - AFALG socket / AEAD 加密接口 修复提交 : a664bf3d603d 及之后补丁 公开名称 : Copy Fail 该漏洞存在于 Linux 内核的 AFALG socket...

CVE-2026-31431-cleaned

copyFail.py — CVE 漏洞利用分析报告 概述 copyFail.py 是一个概念验证（PoC）漏洞利用程序，演示了 Linux 内核中的一个本地权限提升 漏洞。通过滥用 splice 系统调用并结合精心构造的套接字选项，该漏洞利用程序能够破坏任意内核内存。它利用这一能力将磁盘上的任意 setuid 二进制文件覆盖为自定义的 ELF 可执行文件，然后运行被篡改的二进制文件以获得提升的权限。 攻击类型： 本地权限提升（LPE） 影响： 完全 root shell 访问权限（当针对 setuid-root 二进制文件时） 复杂度： 低（单个脚本，无外部依赖） 用法：...