登录
漏洞分析

🎯 CVE-2026-31431 深度技术分析：漏洞根因 · PoC/EXP · 检测指纹

AiRedTeam

• 阅读时间 19 分钟
分享
🎯 CVE 全聚合深度分析

CVE-2026-31431 深度技术分析

📊 聚合 8 来源🧪 含 PoC🕵️ 含指纹
NVD-LatestGitHub-AdvisoryPoC-in-GitHubExploit-DB-RSSOrca Security

摘要：CVE-2026-31431（别名 Copy Fail）是 Linux 内核 crypto 子系统 algif_aead 模块中的一个高危任意页缓存覆写漏洞，CVSS 评分为 7.8（HIGH）。该漏洞源于一次错误的“就地（in-place）操作”优化：AF_ALG 加密接口配合 splice() 系统调用时，将用户可控的密文输入与文件页缓存输出映射到同一页面，导致即使 AEAD 认证失败，解密过程中产生的数据也已写入源页缓存。未授权容器工作负载可利用该漏洞破坏宿主文件系统的页缓存，并结合特权进程实现节点级 root 提权。

📌 漏洞概述

CVE-2026-31431 是 Linux 内核中 crypto/algif_aead.c 模块的高危漏洞。NVD 给出的 CVSS 3.1 评分为 7.8，属于 HIGH 级别。漏洞类型为“不正确的输入验证/边界条件导致的任意内存写”，具体表现为通过 AF_ALG 套接字和 splice() 原语对任意文件页缓存进行写操作。

受影响的组件是 Linux 内核的 AF_ALG 加密接口，该接口允许用户态程序通过 socket API 使用内核加密原语。问题源自 2023 年引入的 commit 72548b093ee3，该提交引入了 algif_aead 的 in-place 操作优化，错误地假设源缓冲区与目标缓冲区可以重叠。Linux 上游通过“revert 该提交，同时保留关联数据（associated data）的拷贝逻辑”的方式修复漏洞。

该漏洞最初由 Theori / Xint 团队发现并公开，公开时间约为 2026 年 4 月 29 日。虽然 CISA KEV 尚未收录，但已有多个第三方 PoC 仓库（如 copy-fail-c、DIRTYFAIL 等）展示完整利用链。在 Talos Linux 环境中，该漏洞可被进一步利用为完整的节点 root 权限接管。

🔬 漏洞根因分析

要理解该漏洞，需要深入剖析 AF_ALG 与 splice() 的交互以及“就地操作”安全假设的失效过程。

AF_ALG 是 Linux 内核提供的一种面向密码学服务的 socket 接口。用户可以通过 bind() 选择一个算法（如 authenc(hmac(sha256),cbc(aes))），然后通过 sendmsg()/recvmsg() 传入数据。对于 AEAD（Authenticated Encryption with Associated Data）算法，通常需要一次操作同时完成加解密与认证。algif_aead 在传统实现中采用“非就地（out-of-place）”模式：密文输入和明文输出分别位于不同的内存缓冲区，由内核负责分配独立的描述符。这种方式虽然效率略低，但保证了数据流的隔离。

commit 72548b093ee3 试图通过允许密文输入和明文输出共用同一块缓冲区来减少内存拷贝、提升性能。这对于普通的用户态输入/输出场景是可行的，因为用户态可以自己保证缓冲区不重叠，或者内核可以检查重叠情况并回退到非就地模式。然而，该提交引入了 AF_ALG 与 splice() 的交互路径。splice() 允许用户将文件页缓存中的页面直接作为套接字输入，而无需将数据复制到用户态。在 AF_ALG 场景中，攻击者可以将目标文件（例如 /etc/passwd 或某个 setuid 二进制）的页缓存页面通过 splice() 送入 AF_ALG socket 作为密文输入。

关键在于，algif_aead 的 in-place 优化使内核将同一个 page 同时注册为源（密文）和目的（明文输出）。当用户使用 authencesn 模板时，解密操作会先在页缓存页面上就地执行，然后再进行认证。更具体地说，AF_ALG 接收来自 splice 的 skb，其中的 frag 直接指向文件页缓存页。由于 in-place 标志被设置，skb 的 frag 同时被用作 output 的 dst。即使后续 AEAD 认证失败（例如，攻击者故意使用错误的密钥或篡改数据），解密步骤已经完成，页缓存页已经被写入了解密后的“明文”数据。而认证失败后的错误返回并不会回滚这些内存写入。

这种写原语非常强大：攻击者可以以 4 字节为粒度（或系统允许的任意对齐）反复操纵目标文件的页缓存。例如，在 copy-fail 的 C 语言 PoC 中，exploit.c 读取目标 setuid 二进制，然后为每一个 4 字节窗口执行一次 AF_ALG 的 AEAD 解密操作。每次操作都通过 splice() 将目标页缓存页送入，然后利用 in-place 覆盖将给定的 4 字节写入该页。经过 4×N 次迭代后，目标文件的页缓存镜像被完全替换为攻击者精心构造的 payload。由于这些操作只影响页缓存，并不直接修改磁盘上的文件，因此常规的文件完整性校验（如基于磁盘的 hash）可能不会被立即发现。但在下一次 execve() 该文件时，内核会将页缓存中的已篡改页面映射为可执行代码，从而运行攻击者代码。

为什么这个漏洞可以“任意写”？因为 AF_ALG 的 socket 不受普通 read/write 文件权限限制，只要攻击者拥有读权限（或可以打开该文件），就可以通过 splice() 将其页缓存送入 AF_ALG。同时，AEAD 的密文输入被解释为“要写入的数据”，攻击者通过构造密文和密钥，可以控制解密输出。更准确地说，由于 skcipher 的解密操作是线性的，攻击者可以预先构造一个密文，使得解密后的明文等于想要写入的字节。认证失败只是让内核报告错误，但数据的物理写入已经生效。

漏洞的另一个关键点在于“来自不同映射”的安全假设被破坏。原始的非就地实现假定源（用户态/套接字缓冲区）和目的（用户态输出缓冲区）是隔离的。in-place 优化为了性能，错误地将源页与目的页合并。当源来自 splice() 的文件页缓存时，这一假设彻底失效，从而将一个原本无害的性能优化变成了一个任意页缓存写原语。

💥 影响与危害

该漏洞允许无特权攻击者（尤其是 Kubernetes 中可部署 Pod 的用户）在不具备任何额外权限的情况下，对宿主机上任意可读文件的页缓存进行覆盖。由于页缓存是内核管理文件内容的核心机制，这种覆盖能力直接转化为以下几种严重危害：

  • 权限提升（LPE）：攻击者可以篡改一个 setuid root 二进制（如 /usr/bin/su、/usr/sbin/nft）的页缓存。当该二进制被（root 或其他用户）执行时，被篡改的代码会以 root 权限运行，从而直接获得 root shell。在 Kubernetes 场景下，攻击者可以瞄准 kube-proxy 等特权 DaemonSet 中使用的二进制，或 CNI 插件等高权限进程，实现从容器内到宿主机的逃逸。
  • 宿主机文件系统访问：一旦获得 root 代码执行，攻击者可以读取宿主机上的所有敏感数据，包括节点 token、etcd 配置、其他 Pod 的 Secret、云凭据等。
  • 持久化与横向移动：攻击者可篡改常用系统工具（如 nft、iptables）的页缓存，植入后门；由于磁盘上的 inode 未被修改，常规取证和完整性检测可能忽略这种攻击。
  • 容器逃逸：该漏洞的利用无需内核漏洞或竞态条件，仅需要能够创建 AF_ALG socket（在许多容器环境中默认允许）。因此它是容器逃逸链中一个非常稳定的基础原语。
  • 隐蔽性：篡改发生在页缓存层，磁盘文件保持不变，重启后可能复原，但在运行期间持续生效；攻击者还可以定期重新改写以维持控制。

Talos Linux 的公告特别指出，该漏洞可以链式利用：一个未授权 Kubernetes 攻击者（只需能创建 Pod）可以实现宿主机的任意代码执行，最终访问节点机密，获得集群管理员同等影响力。

🛡️ 修复与缓解

官方修复：Linux 内核上游通过 revert commit 72548b093ee3 修复该漏洞，恢复 algif_aead 的非就地操作模式，同时保留对 associated data 的拷贝逻辑。这意味着源（splice 输入的页缓存）和目的（本地分配的输出缓冲区）将严格分离，不再出现页缓存被就地解密覆盖的情况。各 Linux 发行版、容器 OS（如 Talos Linux）应尽快更新内核到包含该 revert 的稳定版本。

缓解措施：

  • 限制 AF_ALG 套接字的访问：在容器环境中，通过 seccomp 策略禁止 unprivileged 进程创建 AF_ALG socket（socket(AF_ALG, ...)），或禁止使用 splice() 与 AF_ALG 交互。这是最直接有效的缓解手段。
  • 容器权限控制：收紧 Kubernetes Pod 的 capabilities，默认移除 CAP_SYS_ADMIN 等；使用 PodSecurity Admission 限制特权容器和 hostPath 挂载。
  • 只读文件系统与不可变层：将关键系统二进制（如 nft、kubelet、kube-proxy）部署在只读 overlay 层，或使用 dm-verity 校验文件完整性，防止页缓存篡改被利用。
  • 监控与检测：监控异常的大量 AF_ALG socket 创建、splice 调用模式以及页缓存异常修改。由于页缓存篡改不改变磁盘文件，部署基于内核审计和 eBPF 的运行时检测（如跟踪 aead 算法是否被用于非预期文件）有助于发现攻击。
  • 临时规避：在无法立即升级内核的环境中，可考虑禁用 authenc/authencesn 等受影响的 AEAD 模板模块（谨慎操作，可能影响 IPSec/VPN 等合法用途），或使用第三方内核模块/运行时补丁强制 algif_aead 回退到非就地模式。
  • 最小权限原则：在集群中限制非受信工作负载的调度，避免与高特权 DaemonSet 共享同一主机。

鉴于该漏洞的利用条件极低且影响极大，强烈建议所有运行受影响内核的生产系统（特别是容器编排平台）将 CVE-2026-31431 视为紧急安全更新来处理。即使没有公开的完整 EXP，已有 PoC 展示了稳定、可复现的利用流程，不应低估其现实威胁。

🧪 PoC 复现

从 GitHub 公开仓库抓取的实际 PoC 代码（仓库）。

📋 代码元数据语言md来源tgies/copy-fail-c针对性✅ 已验证与漏洞相关（代码含 CVE 引用）依赖见代码注释/README用法详见代码注释中的使用说明

# Copy Fail (CVE-2026-31431) - C port

*[English (en)](README.md) ∙ [日本語 (ja)](README.ja.md) ∙ [简体中文 (zh-cn)](README.zh-cn.md) ∙ [한국어 (ko)](README.ko.md) ∙ [Русский (ru)](README.ru.md)*

Copy Fail Linux LPE (CVE-2026-31431) のクロスプラットフォームC言語による再実装です。この脆弱性はTheori / Xintによって2026年4月29日に公開されました。脆弱性の詳細、タイムライン、Theoriによる発見プロセスについては、[copy.fail](https://copy.fail/) の公式レポートを参照してください。

公開されているProof-of-Concept (PoC) は732バイトのPythonスクリプトです。このC言語への移植版は、プロジェクト独自のソース内にアーキテクチャごとの16進数バイナリやインラインアセンブリを含めることなく、nolibcがサポートする任意のアーキテクチャにコンパイル可能なポータブルなC言語として同じエクスプロイトを表現できることを実証しています。

本移植版の作成者: Tony Gies <tony.gies@crashunited.com>
発見および当初の公開: Theori / Xint

## リポジトリ構成

```
copy-fail-c/
├── exploit.c           ドロッパー (バイナリ書き換えバリアント)
├── exploit-passwd.c    ドロッパー (/etc/passwd UID書き換えバリアント)
├── vulnerable.c        非破壊的な脆弱性チェッカー
├── payload.c           ドロップされる本体 (setgid+setuid+execve sh)
├── utils.c,
utils.h    AF_ALG/splice ページキャッシュ書き換えプリミティブ (共有)
├── Makefile            ビルドのオーケストレーション
├── nolibc/             torvalds/linux の tools/include/nolibc からのベンダーコード
└── README.md           このファイル
```

`make` 後:

```
├── payload             ドロッパーにバイト列として埋め込まれる小さな静的ELF
├── payload.o           `ld -r -b binary` によって再配置可能な .o としてラップされたペイロード
├── exploit             ドロッパー、バイナリ書き換えバリアント
├── exploit-passwd      ドロッパー、/etc/passwd UID書き換えバリアント
└── vulnerable          非破壊的な脆弱性チェッカー
```

`exploit.c` は対象バイナリを読み取り専用で開き、埋め込まれたペイロードの4バイトのウィンドウごとにAF_ALGを介してダミーのAEAD復号を1回実行します。このときの暗号文入力は、ターゲットのページキャッシュページからsplice()を介して提供されます。authencesnテンプレートのインプレース最適化により、spliceされたソースページは暗号文入力と平文出力先のアドレスの両方として扱われるため、認証検証がリクエストを拒否する頃には、（失敗する）復号によってすでにページキャッシュページが上書きされています。4 * N回の反復後、ターゲットのキャッシュされたイメージはペイロードとバイト単位で完全に置き換えられます。ターゲットをexecve()すると、変異したページがロードされます。ディスク上のinodeは依然としてsetuid rootであるため、カーネルはroot権限を付与し、ペイロードを実行します。

`payload.c` は純粋なポータブルC言語です: `setgid(0);
setuid(0);execve("/bin/sh",
...)`。nolibcは `_start`、システムコール機構、およびアーキテクチャごとのレジスタ操作を提供します。

2番目のバリアントである `exploit-passwd.c` は、setuidバイナリのイメージの代わりに /etc/passwd のページキャッシュの4バイトを書き換えます。埋め込みペイロードを必要とせず、バイナリ書き換えのルートがブロックされているシステムでも機能しますが、キャッシュアウトの（権限昇格を達成する）サーフェスははるかに狭くなります。

`vulnerable.c` はエクスプロイトではありません。文字列 `init` を含むローカルの `testfile` を作成し、そのファイル自身のページキャッシュに対して同じ `patch_chunk()` プリミティブを実行して、バイトを `vulnerable` に上書きしようとします。読み戻したファイル内容が一致すれば、実行中のカーネルは CVE-2026-31431 の影響範囲内です。ディスク上のinodeは変更されません。`testfile` は終了時に削除され、ページキャッシュの書き換えもそれと共に消えます。特権なしで実行できます。終了コードは、脆弱な場合は100、プリミティブは実行できたが書き換えが起きなかった場合は0、AF_ALGソケットファミリまたはauthencesnテンプレートが利用できずパッチ状態を判定できない場合は2、その他の実行時エラーでは1です。

## ビルド

デフォルト (ホストアーキテクチャ向けネイティブ):

```sh
make
```

aarch64 へのクロスコンパイル (またはクロスツールチェーンがインストールされている他のLinuxアーキテクチャ):

```sh
make CC=aarch64-linux-gnu-gcc LD=aarch64-linux-gnu-ld
```

ベンダー化されたnolibcがサポートするアーキテクチャ（アップストリームに準拠）: x86_64,
i386,arm,aarch64,riscv32/64,mips,ppc,s390x,loongarch,m68k,sh,sparc。nolibcはコンパイラのアーキテクチャマクロに基づいてディスパッチするため、適切な `CC`/`LD` を選択するだけで十分です。

ビルドの要件:

* Cコンパイラ (`cc`,`gcc` または任意のクロスバリアント)
* `ld -r -b binary` をサポートするリンカー (binutils ld および lld は対応)
* `linux/if_alg.h` と `<asm/unistd.h>` を提供するカーネルUAPIヘッダー (Debian/Ubuntu: `linux-libc-dev`;
クロスバリアント: 通常、クロスツールチェーンパッケージに含まれます)

Linux 5.6 より古いヘッダーセットは、ベンダー化されたnolibcが使用する `__kernel_old_time_t` および `struct __kernel_old_timespec` よりも前のものです。`compat.h` (ペイロードのビルドに強制インクルードされます) は、これらが存在しない場合に提供するため、古い `linux-libc-dev` でも引き続きビルドできます。5.6 以降のヘッダーでは何もしません。

外部ライブラリへの依存関係はありません。ペイロードはnolibcに対してフリースタンディングとしてビルドされます。ドロッパーは `fprintf` と `perror` のためだけにホストのlibcとリンクします。

## アーキテクチャの選択

ソースのポータビリティを維持し、ペイロードを小さく保つために、ツールチェーンのいくつかの小さな機能が大きな役割を果たしています。

### nolibc

`nolibc/` はカーネルの小さなヘッダーオンリーなlibcの代替であり、torvalds/linux の `tools/include/nolibc/` から取り込まれたものです。これは `_start`、ポータブルな `syscall()` マクロ、およびインラインシステムコールラッパーを提供し、アーキテクチャごとのレジスタの規則は `nolibc/arch-*.h` にエンコードされています。`-nostdlib -static -ffreestanding -Inolibc` でペイロードをビルドすると、glibcのスタートアップ、TLSの初期化、またはスタックカナリアの仕組みを組み込むことなく、直接カーネルを呼び出す小さな静的ELFが生成されます。結果: パックおよびセクションヘッダーの削除後 (いずれも後述)、x86_64で約720バイト、aarch64で約1.2 KBになります。同じ `payload.c` をmusl-staticでリンクすると約17 KB、glibc-staticでは約700 KBになります。

### 埋め込み用の `ld -r -b binary`

Makefileは `ld -r -b binary -o payload.o payload` を介して、ビルドされた `payload` ELFを `payload.o` に変換します。リンカーは入力バイトを再配置可能なオブジェクトファイルのデータセクションとしてそのまま出力し、入力ファイル名から3つのシンボルを合成します。

```
_binary_payload_start    最初のペイロードバイトのアドレス
_binary_payload_end      最後のペイロードバイトの1つ後のアドレス
_binary_payload_size     絶対シンボル（値はバイト単位のサイズ）
```

`exploit.c` は最初の2つを `extern const unsigned char[]` として宣言し、サイズを `_binary_payload_end - _binary_payload_start` として計算します。

### `-Wl,-N` と厳しい `max-page-size`

ペイロードは `-Wl,-N -Wl,-z,max-page-size=0x10` で静的リンクされます。これにより、カーネルのページ境界に合わせたセグメントあたり4 KBのデフォルトの代わりに、16バイトのファイルアラインメントで `.text`/`.rodata`/`.data` が単一のLOADセグメントにまとめられます。これにより `ld` から「RWX permissions」の警告が出ますが、これは情報提供のみです。ペイロードの実行時メモリ保護は、この単一目的のプログラムにとって重要ではありません。このフラグがない場合、同じコードはx86_64で約13 KB（大部分はセグメント間のゼロパディング）にリンクされますが、これを使用すると、後述のセクションヘッダー削除前で約1.3 KBになります。

### セクションヘッダーの削除

リンク後、`objcopy --strip-section-headers` はペイロードのセクションヘッダーテーブルと `.shstrtab` を削除します。カーネルのELFローダーはプログラムをそのプログラムヘッダーのみからマップするため、これらのバイトは実行時にはロードされませんが、`payload` はそのまま埋め込まれるため、ドロップと `patch_chunk` の反復回数を増大させます。これらを削除すると、x86_64のペイロードは約1.3 KBから720バイトになります（322回の4バイト反復が180回に減少）。2つのリンク時フラグが残りを削ります: `-Wl,--build-id=none` はbuild-idノートを削除し、`-fcf-protection=none` はコンパイラがサポートしている場合にx86のCETノートを削除します。

この削除には binutils >= 2.40 が必要です。クロスビルドでは `OBJCOPY=` を介してターゲットのobjcopyを渡します (例: `OBJCOPY=aarch64-linux-gnu-objcopy`)。objcopyが削除を実行できない場合、ビルドは注意メッセージを表示し、有効でより大きなペイロードを保持します。


## バリアントとキャッシュアウトの実現可能性

このリポジトリは、AF_ALG/splice ページキャッシュの書き換えプリミティブを共有しつつ、異なる方法でroot実行にキャッシュアウト（権限昇格を達成）する2つのエクスプロイトバリアントを提供しています。それらの信頼性プロファイルは同等ではなく、現実世界の脅威モデルを推論する際にこの違いが重要になります。

### バイナリ書き換えバリアント (`exploit`)

ターゲットのsetuidバイナリのページキャッシュを埋め込まれたペイロードバイトで書き換え、バイナリをexecします。カーネルは、バイナリのディスク上の変更されていないsetuidビットからroot権限を付与し、メモリ上の破損したイメージをロードして、ペイロードを実行します。

攻撃者がシステム上の任意のroot-setuidバイナリに対して `open(target,
O_RDONLY)` できる場所であればどこでも機能します。制限された読み取りディレクトリの背後にあるsetuidバイナリの環境や、setuidを使用しないシステム設計によっておおむね防御されます。

### /etc/passwd UID書き換えバリアント (`exploit-passwd`)

/etc/passwd のページキャッシュの4バイトを書き換えて、実行中のユーザーのUIDフィールドを "0000" に設定します。/etc/passwd はすべての標準的なLinuxシステムで誰でも読み取り可能であるため、*書き換え* 自体は普遍的です。これをroot実行に変換するには、root側のプロセスが getpwnam/getpwuid を介してユーザーを解決し、クロスチェックを行わずに解決されたuidに基づいて行動することに依存します。そのようなコンシューマーは多く存在しますが、その多くは呼び出し元のuidに対するカーネルのビューや、ディスク上のファイルの所有権と防衛的なクロスチェックを行うため、キャッシュアウトが機能しなくなります。

#### キャッシュアウト実現可能性マトリックス

|
キャッシュアウト |事前のroot設定の必要性 |備考 ||---|---|---||WSL2 セッションのスポーン |なし |WSLのセッションごとの `setuid(getpwnam(default_user)->pw_uid)` は検証を行いません。クリーンに動作します。 ||util-linux `su` |なし |呼び出し元の識別処理が寛容です。 ||shadow-utils `su` |あり |`getpwuid(getuid())` 呼び出し元の識別チェックは、書き換えによって実際のuidがマッピングされなくなるため失敗します。 ||sshd (デフォルト `StrictModes yes`) |あり (StrictModes の無効化) |
StrictModes はホームディレクトリが root または `pw->pw_uid` に所有されていることを要求します。書き換えにより pw_uid=0 になりますが、ディスク上の所有者は元のuidのままです。不一致のため認証が拒否されます。 ||MTA ローカル配信 (postfix,exim など) |変動あり |MDAのホーム権限検証に依存します。MTAごとのテストが必要です。 |
#### `su` 失敗後のピボット

`exploit-passwd` は書き換え後に最も単純なキャッシュアウトとして `su <user>` をexecします。これは util-linux の `su` に対しては機能しますが、shadow-utils の `su` に対しては "Cannot determine your user name." で失敗します。この時点でもページキャッシュの書き換えは有効であり、他のキャッシュアウト（例: クロスチェックなしで getpwnam を介してユーザーを解決するデーモンを使用する）へのピボットは可能です。
テスト完了後に破損したページキャッシュをクリアするには、rootとして `echo 3 >
/proc/sys/vm/drop_caches` を実行してください。

## 影響を受けるカーネル

```
下限:    torvalds/linux 72548b093ee3   2017年8月,v4.14
                                        (AEADスキャッターリストへのspliceを介した
                                         ファイルページ書き込みプリミティブを
                                         導入したAF_ALG iov_iterの再構築)

上限:    torvalds/linux a664bf3d603d   2026年4月,
メインライン
                                        (2017年のalgif_aeadインプレース最適化を元に戻す;
ソースと宛先のスキャッターリストを分離し、
                                         ページキャッシュページが書き込み可能な
                                         暗号化の宛先にならないようにした)
```

この間の期間: 修正をバックポートしなかったすべての主要なディストリビューションカーネル。
Ubuntu、RHEL、SUSE、Amazon Linux、およびDebianはすべて、情報公開時にストッククラウドイメージカーネルで脆弱性が確認されていました。ディストリビューションレベルのバックポートは、一般公開と並行して2026年4月29日頃から展開され始めました。ターゲットカーネルが該当期間内にあるかどうかを確認するには、カーネルのgitログまたはディストリビューションのチェンジログに `a664bf3d603d` (またはそのディストリビューション固有のバックポート) が存在するかどうかを確認してください。

## 商用サポート

有償のセキュリティレビュー、カスタム移植、非公開のセキュリティアドバイザリについては、作成者のコンサルティング会社である Crash United,
LLC を通じてお問い合わせください。

連絡先: tony.gies@crashunited.com · https://crashunited.com  
GitHub: [@tgies](https://github.com/tgies) · X/Twitter: [@me_irl](https://x.com/me_irl)

## ライセンスとクレジット

CVE-2026-31431の発見と当初の公開: Theori / Xint
公式レポート: <https://copy.fail/>本C移植版: Tony Gies <tony.gies@crashunited.com>
`nolibc/`: Linuxカーネルツリーからのベンダーコード、デュアルライセンス
LGPL-2.1-or-later または MIT (`nolibc/nolibc.h` および各ファイルのSPDXヘッダーを参照)。

このリポジトリのドロッパーおよびペイロードのソースは、依存するnolibcツリーと同じLGPL-2.1-or-later または MIT のデュアルライセンス条項の下でリリースされています。これは、このディレクトリ全体を自分の作業環境に取り込むユーザーに対してライセンスの互換性を容易に維持するためです。

エクスプロイトとペイロードは、セキュリティ研究および防衛的な検出の目的で公開されています。所有していない、または明示的なテストの許可を得ていないシステムに対する使用は、作成者ではなくあなた自身の責任です。

⚔️ EXP 利用代码

截至分析时，Exploit-DB 未收录该 CVE 的公开利用代码。可利用上述 PoC 进行验证，或关注 Exploit-DB 更新。

🕵️ 检测指纹

针对该 CVE 的自动化检测规则（可直接用于扫描与审计）。

🛡️ Semgrep 审计规则: CVE-2026-31431.yaml

📋 代码元数据语言yaml来源rules/semgrep/CVE-2026-31431.yaml针对性✅ 按 CVE 匹配依赖semgrep用法semgrep --config CVE-2026-31431.yaml

rules:
  - id: CVE-2026-31431-rce-go
    languages:
      - go
    severity: ERROR
    message: "Potential page cache corruption via AF_ALG and splice() leading to local privilege escalation. Avoid direct usage of AF_ALG sockets with splice() on file page-cache pages."
    patterns:
      - pattern: |syscall.Splice($R,nil,$W,nil,$N,0)
    fix: |
// Avoid using splice() with AF_ALG sockets on file-backed pages.
      // Use safe I/O operations like io.Copy instead of splice.
    metadata:
      cwe: "CWE-277"
      owasp: "A5: Broken Access Control"
      technology: talos
      references:
        - "https://github.com/advisories/GHSA-m38g-vww2-mvgx"
  - id: CVE-2026-31431-rce-go-alg
    languages:
      - go
    severity: ERROR
    message: "Potential page cache corruption via AF_ALG and splice() leading to local privilege escalation. Avoid direct usage of AF_ALG sockets with splice() on file page-cache pages."
    patterns:
      - pattern: |
syscall.Splice($R,nil,$W,nil,$N,0)
    fix: |// Avoid using splice() with AF_ALG sockets on file-backed pages.
      // Use safe I/O operations like io.Copy instead of splice.
    metadata:
      cwe: "CWE-277"
      owasp: "A5: Broken Access Control"
      technology: talos
      references:
        - "https://github.com/advisories/GHSA-m38g-vww2-mvgx"

🛡️ CodeQL 审计规则: CVE-2026-31431.ql

📋 代码元数据语言ql来源rules/codeql/CVE-2026-31431.ql针对性✅ 按 CVE 匹配依赖codeql用法codeql database run

/**
 * @kind path-problem
 * @id go/command-injection/cve-2026-31431
 * @name Unsafe splice() in AF_ALG leading to arbitrary code execution via nftables
 * @description Untrusted workload using AF_ALG and splice() can corrupt page-cache pages,
leading to arbitrary code execution in kube-proxy via nft binary poisoning
 * @problem.severity error
 * @tags security
 *       external/cwe/cwe-078
 */
import go
import semmle.go.security.dataflow.CommandInjectionCustomizations
import CommandInjectionFlow::PathGraph

/**
 * A source of untrusted input from inside a container (workload)
 */
class WorkloadSource extends DataFlow::Node {
WorkloadSource() {// Environment variables,command line arguments,network input,etc.
    any(DataFlow::Node src).(RemoteFlowSource) = src
    or
    // Any input received via AF_ALG socket from the container
    exists(FileReadAccess f |f.getFile().getAbsolutePath().matches("%/proc/%/fd/%"))
  }}
/**
 * A sink that represents the splice() system call on AF_ALG socket
 * which can corrupt page-cache pages
 */
class SpliceAlgSink extends DataFlow::Node {SpliceAlgSink() {exists(FunctionCall fc |fc.getTarget().getName() = "splice" and
      fc.getAnArgument().(DataFlow::Node).asExpr().getType().(PointerType).getBaseType().getName() = "alg_socket"
    )
  }}
/**
 * Sink for nft execution which can be poisoned via page-cache corruption
 */
class NftExecutionSink extends DataFlow::Node {NftExecutionSink() {exists(FunctionCall fc |
fc.getTarget().getName() = "exec" or
      fc.getTarget().getName() = "execve" or
      fc.getTarget().getName() = "syscall.Exec"
    ) and
    fc.getAnArgument().(DataFlow::Node).asExpr().(StringLiteral).getValue().matches("*/nft*")
  }}class PoC_CommandInjectionConfig extends TaintTracking::Configuration {PoC_CommandInjectionConfig() {this = "PoC_CommandInjectionConfig" }
override predicate isSource(DataFlow::Node source) {source instanceof WorkloadSource
  }override predicate isSink(DataFlow::Node sink) {sink instanceof SpliceAlgSink or
    sink instanceof NftExecutionSink
  }}from PoC_CommandInjectionConfig cfg,DataFlow::PathNode source,DataFlow::PathNode sink
where cfg.hasFlowPath(source,sink)
select sink.getNode(),source,sink,
"Untrusted workload data flows to splice() or nft execution,enabling page-cache corruption and privilege escalation"

🤖 本文由漏洞情报系统自动聚合生成 · 2026-08-02 11:06 · 数据源: NVD/GitHub-Advisory/OSV/CISA-KEV/Exploit-DB/PoC-in-GitHub + 检测规则库

[!] CONTACT_CHANNELS

如需商务合作、技术咨询或漏洞反馈，请通过以下离岸节点联系作者。

> PING_AUTHOR (@A1RedTeam)