🎯 CVE-2026-31431 深度技术分析：漏洞根因 · PoC/EXP · 检测指纹
CVE-2026-31431 深度技术分析
摘要：CVE-2026-31431（也称“Copy Fail”）是 Linux 内核 crypto/algif_aead 子系统中一个因错误采用“就地（in-place）操作”而引入的高危漏洞，CVSS 评分为 7.8。未经授权的容器工作负载可利用 AF_ALG 算法接口与 splice() 系统调用，破坏宿主机任意文件的 page-cache 页。在 Talos Linux 等场景中，该漏洞可被链式升级为节点完全失陷：仅需创建普通 Pod 的权限，即可通过污染特权 Pod 或 CNI 二进制实现宿主机 root 权限执行、读取节点机密等。本文将从漏洞根源、利用细节、实际危害与修复缓解四个维度进行深度剖析。
📌 漏洞概述
CVE ID：CVE-2026-31431
CVSS 评分：7.8（High）
漏洞类型：内核内存破坏（Page-Cache 任意写入）导致的权限提升（LPE）
受影响组件：Linux 内核 crypto/algif_aead 子系统（AF_ALG 套接字）
引入原因：内核 commit 72548b093ee3 试图在 algif_aead 中启用就地（in-place）操作，但该优化在所有场景下均不成立，反而引入了复杂且脆弱的地址管理逻辑。
修复方式：撤销该 commit，恢复为“异地（out-of-place）”操作，仅保留对关联数据（associated data, AD）的拷贝。
公开时间：2026 年 4 月 29 日由 Theori / Xint 披露，并已在 copy.fail 发布技术报告。
该漏洞的利用面非常特殊：它不依赖内核中的普通内存越界，而是通过 AF_ALG 与 splice() 的组合，在 AEAD 解密失败的过程中“顺带”改写页面缓存。由于 page-cache 是内核与文件系统之间的通用缓存层，任意可被映射到用户态的文件（包括 /etc/passwd、二进制程序、共享库等）都可能成为攻击目标。在 Kubernetes 环境中，攻击者只需能在节点上创建 Pod（无需额外 RBAC 权限），即可绕过容器隔离，向宿主机的特权进程发起污染攻击。
🔬 漏洞根因分析
要理解 CVE-2026-31431，必须回到 Linux 内核 AF_ALG 套接字的实现。AF_ALG 向用户态暴露了内核 crypto API，允许用户通过套接字执行对称加密、AEAD 等操作。在 AEAD 解密过程中，内核需要为输入（ciphertext）和输出（plaintext）分别准备一条 SGL（scatter-gather list）。通常情况下，用户态会通过 send() 将密文送入内核，再从 read() 或 recv() 中取回明文，这是典型的“异地”模式。
然而，commit 72548b093ee3 尝试引入“就地”优化：当输入的 SGL 与输出的 SGL 指向同一组物理页面时，避免额外的拷贝与内存重新映射。这在用户态使用同一块缓冲区进行加解密时是合理的。但问题在于，splice() 系统调用可以将文件页（page-cache）直接作为 AF_ALG 的输入，而无需将数据拷贝到用户态。如果用户态在调用 AF_ALG 解密时，将 splice() 提供的文件页作为“密文源”，同时又将同一个文件页作为“明文目标”，那么内核便会认为源和目标是同一个页面，从而启用就地路径。
在 AEAD 解密流程中，内核会先执行“解密并验证”（decrypt-and-verify）操作。攻击者故意使用错误的密钥或篡改的认证标签，使认证失败的请求最终被拒绝。然而，就地操作带来的副作用是：在认证通过之前，密文就已经被“解密”过程原地覆盖。也就是说，即使请求最终返回错误（例如 EBADMSG），页面缓存中的原始密文数据已经遭到了破坏。由于 splice() 将 page-cache 页直接映射为 SGL 的缓冲区，内核在就地模式下会同时将输出写回同一物理页面，这就形成了“先污染、后报错”的利用原语。
从更深层看，这个漏洞的根因在于一种错误的抽象假设：AEAD 算法的 in-place 优化要求输入输出缓冲区必须为同一映射（同一地址空间、同一页偏移）。但 splice() 介入后，输入来自文件页，输出却可能来自页缓存中同一个文件页的另一个偏移（或整个页面被当作输出），两者虽然物理页相同，但内核并不希望真的“就地”覆盖源页——因为用户态根本没有提供输出缓冲区，而是让内核“覆盖”文件页。这种语义混淆导致内核错误地将 splice 的源页当作可写的目标页，并且没有在认证失败时回滚数据。
公开 PoC 的实现思路恰好印证了这一点：攻击者将一个 4 字节窗口的密文通过 splice() 从目标文件页送入 AF_ALG，然后以同一页面作为输出。经过一次“失败的解密”，该 4 字节已被替换为解密结果（失败时也会产生伪随机输出）。重复 4×N 次，即可将整个文件的页缓存替换为攻击者构造的 payload。由于替换发生在 page-cache 层面，磁盘上的文件 inode 并未改变，文件的权限、所有权、setuid 位等元数据保持不变——这为后续执行提权 payload 创造了条件。
官方补丁的措辞“Revert to operating out-of-place”一针见血地指出：在 AF_ALG 的用户态接口中，源和目的本应来自不同的映射（一个来自用户内存，一个来自套接字接收队列），根本不满足就地操作的前提。引入 in-place 优化所增加的复杂度（多分支的偏移处理、页重叠检测、回滚逻辑）远超过其带来的收益，并且最终制造了一个可被武器化的页缓存写入漏洞。
💥 影响与危害
CVE-2026-31431 的严重性不仅在于内核层面可以损坏 page-cache，更在于它被包裹在容器环境中时，可以轻松击穿隔离边界。根据 GitHub Advisory（GHSA-m38g-vww2-mvgx）中对 Talos Linux 的分析，攻击者只需拥有在节点上创建 Pod 的能力（这是 Kubernetes 集群中非常基础的能力），便可在没有任何高级权限的情况下完成以下攻击链：
- 宿主文件系统任意读取/污染：通过破坏
/etc/passwd的页缓存，将 root 用户的 UID 改为 0（实际修改密码字段或直接替换用户条目），从而获得宿主机 root shell。PoC 中的exploit-passwd变体正是直接改写/etc/passwd页缓存，使密码校验失效。 - 权限提升至宿主机 root：更通用的一种方式是污染一个 setuid root 二进制（如
/usr/bin/su或/usr/bin/mount）的页缓存。由于文件元数据（包括 setuid 位）未改变，执行该二进制时内核会赋予 root 权限，而实际运行的指令已经被攻击者控制。 - 攻击特权组件实现逃逸：在 Kubernetes 中，常见做法是污染
kube-proxy或 CNI 插件使用的二进制（如/usr/sbin/nft）。这些组件运行在特权容器或宿主机命名空间中，一旦页缓存被污染，后续拉起该二进制即会执行恶意代码。 - 窃取节点敏感信息：破坏或修改 kubelet 的配置文件、ca.crt、token 等，直接从宿主机文件系统获取节点凭据，进而控制整个集群。
由于攻击几乎不依赖内核竞争条件，也不需要先读或写任意的用户态内存，PoC 的可靠性非常高（公开仓库中被称为“非破坏性漏洞检测器”）。该漏洞在 CVSS 评分中为 7.8 High，但在 Kubernetes 实际部署中，其危害程度往往高于原始评分——因为它可将“容器内代码执行”直接升级为“节点 root 权限”，是一种典型的容器逃逸链路放大器。
🛡️ 修复与缓解
上游补丁：Linux 内核已经发布修复，核心操作是 revert commit 72548b093ee3，并保留对关联数据的拷贝逻辑。补丁会强制 AF_ALG AEAD 操作走回“异地”（out-of-place）路径，从根源上切断 splice() 与页缓存写入之间的错误链接。建议所有仍受影响的发行版立即合入该补丁，或快速跟进更新内核版本。
受影响发行版 / 产品：
- 使用 Linux 内核且包含 commit
72548b093ee3的发行版（自引入该 commit 起，至补丁合入之前的版本）。 - Talos Linux（GHSA-m38g-vww2-mvgx 中标记为高危）等以容器为载体的不可变基础设施，因为其应用容器直接运行在宿主机内核上，隔离边界更依赖内核安全。
- 提供容器运行时并允许用户创建 Pod 的 Kubernetes 集群。
临时缓解措施：
- 限制 AF_ALG 访问：在不影响业务的情况下，通过 seccomp、AppArmor 或 SELinux 禁止容器内的
AF_ALG套接字创建。Kubernetes 中可在 Pod 的 securityContext 中配置 seccompProfile，拒绝socket(AF_ALG, ...)。 - 禁止 splice 与 AF_ALG 的组合：如无法禁止 AF_ALG，至少通过 LSM 或 sysctl 限制未特权用户使用
splice()对 AF_ALG 套接字进行操作（但内核尚无专门开关，需依赖 seccomp 过滤splice()或vmsplice()）。 - 强化容器权限：不要让容器以 privileged 模式运行，且不应挂载宿主文件系统。但注意该漏洞不需要特权容器，仅需默认的 user namespace rlimit 即可访问 AF_ALG，因此这只是纵深防御。
- 监控异常页缓存修改：利用 eBPF 或 audit 监控
splice()对敏感文件页（/etc/passwd、/usr/bin、/sbin 等）的访问，及时发现异常写入。 - 升级节点镜像：Talos Linux 用户应升级到包含修复版本的内核镜像；其他发行版用户应及时更新内核包。
总体而言，CVE-2026-31431 再次证明了“微优化”可能带来严重的内核安全后果。当优化路径跨越了系统调用边界、与 splice 等特殊 I/O 机制交互时，其语义便不再局限于 crypto 算法本身，而是会扩展到页缓存的安全模型。任何运行受影响内核的 Linux 环境都应当立即评估风险，并优先完成补丁部署。
🧪 PoC 复现
从 GitHub 公开仓库抓取的实际 PoC 代码（仓库）。
📋 代码元数据语言md来源tgies/copy-fail-c针对性✅ 已验证与漏洞相关（代码含 CVE 引用）依赖见代码注释/README用法详见代码注释中的使用说明
# Copy Fail (CVE-2026-31431) - C port
*[English (en)](README.md) ∙ [日本語 (ja)](README.ja.md) ∙ [简体中文 (zh-cn)](README.zh-cn.md) ∙ [한국어 (ko)](README.ko.md) ∙ [Русский (ru)](README.ru.md)*
Copy Fail Linux LPE (CVE-2026-31431) のクロスプラットフォームC言語による再実装です。この脆弱性はTheori / Xintによって2026年4月29日に公開されました。脆弱性の詳細、タイムライン、Theoriによる発見プロセスについては、[copy.fail](https://copy.fail/) の公式レポートを参照してください。
公開されているProof-of-Concept (PoC) は732バイトのPythonスクリプトです。このC言語への移植版は、プロジェクト独自のソース内にアーキテクチャごとの16進数バイナリやインラインアセンブリを含めることなく、nolibcがサポートする任意のアーキテクチャにコンパイル可能なポータブルなC言語として同じエクスプロイトを表現できることを実証しています。
本移植版の作成者: Tony Gies <tony.gies@crashunited.com>
発見および当初の公開: Theori / Xint
## リポジトリ構成
```
copy-fail-c/
├── exploit.c ドロッパー (バイナリ書き換えバリアント)
├── exploit-passwd.c ドロッパー (/etc/passwd UID書き換えバリアント)
├── vulnerable.c 非破壊的な脆弱性チェッカー
├── payload.c ドロップされる本体 (setgid+setuid+execve sh)
├── utils.c,
utils.h AF_ALG/splice ページキャッシュ書き換えプリミティブ (共有)
├── Makefile ビルドのオーケストレーション
├── nolibc/ torvalds/linux の tools/include/nolibc からのベンダーコード
└── README.md このファイル
```
`make` 後:
```
├── payload ドロッパーにバイト列として埋め込まれる小さな静的ELF
├── payload.o `ld -r -b binary` によって再配置可能な .o としてラップされたペイロード
├── exploit ドロッパー、バイナリ書き換えバリアント
├── exploit-passwd ドロッパー、/etc/passwd UID書き換えバリアント
└── vulnerable 非破壊的な脆弱性チェッカー
```
`exploit.c` は対象バイナリを読み取り専用で開き、埋め込まれたペイロードの4バイトのウィンドウごとにAF_ALGを介してダミーのAEAD復号を1回実行します。このときの暗号文入力は、ターゲットのページキャッシュページからsplice()を介して提供されます。authencesnテンプレートのインプレース最適化により、spliceされたソースページは暗号文入力と平文出力先のアドレスの両方として扱われるため、認証検証がリクエストを拒否する頃には、（失敗する）復号によってすでにページキャッシュページが上書きされています。4 * N回の反復後、ターゲットのキャッシュされたイメージはペイロードとバイト単位で完全に置き換えられます。ターゲットをexecve()すると、変異したページがロードされます。ディスク上のinodeは依然としてsetuid rootであるため、カーネルはroot権限を付与し、ペイロードを実行します。
`payload.c` は純粋なポータブルC言語です: `setgid(0);
setuid(0);execve("/bin/sh",
...)`。nolibcは `_start`、システムコール機構、およびアーキテクチャごとのレジスタ操作を提供します。
2番目のバリアントである `exploit-passwd.c` は、setuidバイナリのイメージの代わりに /etc/passwd のページキャッシュの4バイトを書き換えます。埋め込みペイロードを必要とせず、バイナリ書き換えのルートがブロックされているシステムでも機能しますが、キャッシュアウトの（権限昇格を達成する）サーフェスははるかに狭くなります。
`vulnerable.c` はエクスプロイトではありません。文字列 `init` を含むローカルの `testfile` を作成し、そのファイル自身のページキャッシュに対して同じ `patch_chunk()` プリミティブを実行して、バイトを `vulnerable` に上書きしようとします。読み戻したファイル内容が一致すれば、実行中のカーネルは CVE-2026-31431 の影響範囲内です。ディスク上のinodeは変更されません。`testfile` は終了時に削除され、ページキャッシュの書き換えもそれと共に消えます。特権なしで実行できます。終了コードは、脆弱な場合は100、プリミティブは実行できたが書き換えが起きなかった場合は0、AF_ALGソケットファミリまたはauthencesnテンプレートが利用できずパッチ状態を判定できない場合は2、その他の実行時エラーでは1です。
## ビルド
デフォルト (ホストアーキテクチャ向けネイティブ):
```sh
make
```
aarch64 へのクロスコンパイル (またはクロスツールチェーンがインストールされている他のLinuxアーキテクチャ):
```sh
make CC=aarch64-linux-gnu-gcc LD=aarch64-linux-gnu-ld
```
ベンダー化されたnolibcがサポートするアーキテクチャ（アップストリームに準拠）: x86_64,
i386,arm,aarch64,riscv32/64,mips,ppc,s390x,loongarch,m68k,sh,sparc。nolibcはコンパイラのアーキテクチャマクロに基づいてディスパッチするため、適切な `CC`/`LD` を選択するだけで十分です。
ビルドの要件:
* Cコンパイラ (`cc`,`gcc` または任意のクロスバリアント)
* `ld -r -b binary` をサポートするリンカー (binutils ld および lld は対応)
* `linux/if_alg.h` と `<asm/unistd.h>` を提供するカーネルUAPIヘッダー (Debian/Ubuntu: `linux-libc-dev`;
クロスバリアント: 通常、クロスツールチェーンパッケージに含まれます)
Linux 5.6 より古いヘッダーセットは、ベンダー化されたnolibcが使用する `__kernel_old_time_t` および `struct __kernel_old_timespec` よりも前のものです。`compat.h` (ペイロードのビルドに強制インクルードされます) は、これらが存在しない場合に提供するため、古い `linux-libc-dev` でも引き続きビルドできます。5.6 以降のヘッダーでは何もしません。
外部ライブラリへの依存関係はありません。ペイロードはnolibcに対してフリースタンディングとしてビルドされます。ドロッパーは `fprintf` と `perror` のためだけにホストのlibcとリンクします。
## アーキテクチャの選択
ソースのポータビリティを維持し、ペイロードを小さく保つために、ツールチェーンのいくつかの小さな機能が大きな役割を果たしています。
### nolibc
`nolibc/` はカーネルの小さなヘッダーオンリーなlibcの代替であり、torvalds/linux の `tools/include/nolibc/` から取り込まれたものです。これは `_start`、ポータブルな `syscall()` マクロ、およびインラインシステムコールラッパーを提供し、アーキテクチャごとのレジスタの規則は `nolibc/arch-*.h` にエンコードされています。`-nostdlib -static -ffreestanding -Inolibc` でペイロードをビルドすると、glibcのスタートアップ、TLSの初期化、またはスタックカナリアの仕組みを組み込むことなく、直接カーネルを呼び出す小さな静的ELFが生成されます。結果: パックおよびセクションヘッダーの削除後 (いずれも後述)、x86_64で約720バイト、aarch64で約1.2 KBになります。同じ `payload.c` をmusl-staticでリンクすると約17 KB、glibc-staticでは約700 KBになります。
### 埋め込み用の `ld -r -b binary`
Makefileは `ld -r -b binary -o payload.o payload` を介して、ビルドされた `payload` ELFを `payload.o` に変換します。リンカーは入力バイトを再配置可能なオブジェクトファイルのデータセクションとしてそのまま出力し、入力ファイル名から3つのシンボルを合成します。
```
_binary_payload_start 最初のペイロードバイトのアドレス
_binary_payload_end 最後のペイロードバイトの1つ後のアドレス
_binary_payload_size 絶対シンボル（値はバイト単位のサイズ）
```
`exploit.c` は最初の2つを `extern const unsigned char[]` として宣言し、サイズを `_binary_payload_end - _binary_payload_start` として計算します。
### `-Wl,-N` と厳しい `max-page-size`
ペイロードは `-Wl,-N -Wl,-z,max-page-size=0x10` で静的リンクされます。これにより、カーネルのページ境界に合わせたセグメントあたり4 KBのデフォルトの代わりに、16バイトのファイルアラインメントで `.text`/`.rodata`/`.data` が単一のLOADセグメントにまとめられます。これにより `ld` から「RWX permissions」の警告が出ますが、これは情報提供のみです。ペイロードの実行時メモリ保護は、この単一目的のプログラムにとって重要ではありません。このフラグがない場合、同じコードはx86_64で約13 KB（大部分はセグメント間のゼロパディング）にリンクされますが、これを使用すると、後述のセクションヘッダー削除前で約1.3 KBになります。
### セクションヘッダーの削除
リンク後、`objcopy --strip-section-headers` はペイロードのセクションヘッダーテーブルと `.shstrtab` を削除します。カーネルのELFローダーはプログラムをそのプログラムヘッダーのみからマップするため、これらのバイトは実行時にはロードされませんが、`payload` はそのまま埋め込まれるため、ドロップと `patch_chunk` の反復回数を増大させます。これらを削除すると、x86_64のペイロードは約1.3 KBから720バイトになります（322回の4バイト反復が180回に減少）。2つのリンク時フラグが残りを削ります: `-Wl,--build-id=none` はbuild-idノートを削除し、`-fcf-protection=none` はコンパイラがサポートしている場合にx86のCETノートを削除します。
この削除には binutils >= 2.40 が必要です。クロスビルドでは `OBJCOPY=` を介してターゲットのobjcopyを渡します (例: `OBJCOPY=aarch64-linux-gnu-objcopy`)。objcopyが削除を実行できない場合、ビルドは注意メッセージを表示し、有効でより大きなペイロードを保持します。
## バリアントとキャッシュアウトの実現可能性
このリポジトリは、AF_ALG/splice ページキャッシュの書き換えプリミティブを共有しつつ、異なる方法でroot実行にキャッシュアウト（権限昇格を達成）する2つのエクスプロイトバリアントを提供しています。それらの信頼性プロファイルは同等ではなく、現実世界の脅威モデルを推論する際にこの違いが重要になります。
### バイナリ書き換えバリアント (`exploit`)
ターゲットのsetuidバイナリのページキャッシュを埋め込まれたペイロードバイトで書き換え、バイナリをexecします。カーネルは、バイナリのディスク上の変更されていないsetuidビットからroot権限を付与し、メモリ上の破損したイメージをロードして、ペイロードを実行します。
攻撃者がシステム上の任意のroot-setuidバイナリに対して `open(target,
O_RDONLY)` できる場所であればどこでも機能します。制限された読み取りディレクトリの背後にあるsetuidバイナリの環境や、setuidを使用しないシステム設計によっておおむね防御されます。
### /etc/passwd UID書き換えバリアント (`exploit-passwd`)
/etc/passwd のページキャッシュの4バイトを書き換えて、実行中のユーザーのUIDフィールドを "0000" に設定します。/etc/passwd はすべての標準的なLinuxシステムで誰でも読み取り可能であるため、*書き換え* 自体は普遍的です。これをroot実行に変換するには、root側のプロセスが getpwnam/getpwuid を介してユーザーを解決し、クロスチェックを行わずに解決されたuidに基づいて行動することに依存します。そのようなコンシューマーは多く存在しますが、その多くは呼び出し元のuidに対するカーネルのビューや、ディスク上のファイルの所有権と防衛的なクロスチェックを行うため、キャッシュアウトが機能しなくなります。
#### キャッシュアウト実現可能性マトリックス
|
キャッシュアウト |事前のroot設定の必要性 |備考 ||---|---|---||WSL2 セッションのスポーン |なし |WSLのセッションごとの `setuid(getpwnam(default_user)->pw_uid)` は検証を行いません。クリーンに動作します。 ||util-linux `su` |なし |呼び出し元の識別処理が寛容です。 ||shadow-utils `su` |あり |`getpwuid(getuid())` 呼び出し元の識別チェックは、書き換えによって実際のuidがマッピングされなくなるため失敗します。 ||sshd (デフォルト `StrictModes yes`) |あり (StrictModes の無効化) |
StrictModes はホームディレクトリが root または `pw->pw_uid` に所有されていることを要求します。書き換えにより pw_uid=0 になりますが、ディスク上の所有者は元のuidのままです。不一致のため認証が拒否されます。 ||MTA ローカル配信 (postfix,exim など) |変動あり |MDAのホーム権限検証に依存します。MTAごとのテストが必要です。 |
#### `su` 失敗後のピボット
`exploit-passwd` は書き換え後に最も単純なキャッシュアウトとして `su <user>` をexecします。これは util-linux の `su` に対しては機能しますが、shadow-utils の `su` に対しては "Cannot determine your user name." で失敗します。この時点でもページキャッシュの書き換えは有効であり、他のキャッシュアウト（例: クロスチェックなしで getpwnam を介してユーザーを解決するデーモンを使用する）へのピボットは可能です。
テスト完了後に破損したページキャッシュをクリアするには、rootとして `echo 3 >
/proc/sys/vm/drop_caches` を実行してください。
## 影響を受けるカーネル
```
下限: torvalds/linux 72548b093ee3 2017年8月,v4.14
(AEADスキャッターリストへのspliceを介した
ファイルページ書き込みプリミティブを
導入したAF_ALG iov_iterの再構築)
上限: torvalds/linux a664bf3d603d 2026年4月,
メインライン
(2017年のalgif_aeadインプレース最適化を元に戻す;
ソースと宛先のスキャッターリストを分離し、
ページキャッシュページが書き込み可能な
暗号化の宛先にならないようにした)
```
この間の期間: 修正をバックポートしなかったすべての主要なディストリビューションカーネル。
Ubuntu、RHEL、SUSE、Amazon Linux、およびDebianはすべて、情報公開時にストッククラウドイメージカーネルで脆弱性が確認されていました。ディストリビューションレベルのバックポートは、一般公開と並行して2026年4月29日頃から展開され始めました。ターゲットカーネルが該当期間内にあるかどうかを確認するには、カーネルのgitログまたはディストリビューションのチェンジログに `a664bf3d603d` (またはそのディストリビューション固有のバックポート) が存在するかどうかを確認してください。
## 商用サポート
有償のセキュリティレビュー、カスタム移植、非公開のセキュリティアドバイザリについては、作成者のコンサルティング会社である Crash United,
LLC を通じてお問い合わせください。
連絡先: tony.gies@crashunited.com · https://crashunited.com
GitHub: [@tgies](https://github.com/tgies) · X/Twitter: [@me_irl](https://x.com/me_irl)
## ライセンスとクレジット
CVE-2026-31431の発見と当初の公開: Theori / Xint
公式レポート: <https://copy.fail/>本C移植版: Tony Gies <tony.gies@crashunited.com>
`nolibc/`: Linuxカーネルツリーからのベンダーコード、デュアルライセンス
LGPL-2.1-or-later または MIT (`nolibc/nolibc.h` および各ファイルのSPDXヘッダーを参照)。
このリポジトリのドロッパーおよびペイロードのソースは、依存するnolibcツリーと同じLGPL-2.1-or-later または MIT のデュアルライセンス条項の下でリリースされています。これは、このディレクトリ全体を自分の作業環境に取り込むユーザーに対してライセンスの互換性を容易に維持するためです。
エクスプロイトとペイロードは、セキュリティ研究および防衛的な検出の目的で公開されています。所有していない、または明示的なテストの許可を得ていないシステムに対する使用は、作成者ではなくあなた自身の責任です。⚔️ EXP 利用代码
截至分析时，Exploit-DB 未收录该 CVE 的公开利用代码。可利用上述 PoC 进行验证，或关注 Exploit-DB 更新。
🕵️ 检测指纹
针对该 CVE 的自动化检测规则（可直接用于扫描与审计）。
🛡️ Semgrep 审计规则: CVE-2026-31431.yaml
📋 代码元数据语言yaml来源rules/semgrep/CVE-2026-31431.yaml针对性✅ 按 CVE 匹配依赖semgrep用法semgrep --config CVE-2026-31431.yaml
rules:
- id: CVE-2026-31431-rce-go
languages:
- go
severity: ERROR
message: "Potential page cache corruption via AF_ALG and splice() leading to local privilege escalation. Avoid direct usage of AF_ALG sockets with splice() on file page-cache pages."
patterns:
- pattern: |syscall.Splice($R,nil,$W,nil,$N,0)
fix: |
// Avoid using splice() with AF_ALG sockets on file-backed pages.
// Use safe I/O operations like io.Copy instead of splice.
metadata:
cwe: "CWE-277"
owasp: "A5: Broken Access Control"
technology: talos
references:
- "https://github.com/advisories/GHSA-m38g-vww2-mvgx"
- id: CVE-2026-31431-rce-go-alg
languages:
- go
severity: ERROR
message: "Potential page cache corruption via AF_ALG and splice() leading to local privilege escalation. Avoid direct usage of AF_ALG sockets with splice() on file page-cache pages."
patterns:
- pattern: |
syscall.Splice($R,nil,$W,nil,$N,0)
fix: |// Avoid using splice() with AF_ALG sockets on file-backed pages.
// Use safe I/O operations like io.Copy instead of splice.
metadata:
cwe: "CWE-277"
owasp: "A5: Broken Access Control"
technology: talos
references:
- "https://github.com/advisories/GHSA-m38g-vww2-mvgx"🛡️ CodeQL 审计规则: CVE-2026-31431.ql
📋 代码元数据语言ql来源rules/codeql/CVE-2026-31431.ql针对性✅ 按 CVE 匹配依赖codeql用法codeql database run
/**
* @kind path-problem
* @id go/command-injection/cve-2026-31431
* @name Unsafe splice() in AF_ALG leading to arbitrary code execution via nftables
* @description Untrusted workload using AF_ALG and splice() can corrupt page-cache pages,
leading to arbitrary code execution in kube-proxy via nft binary poisoning
* @problem.severity error
* @tags security
* external/cwe/cwe-078
*/
import go
import semmle.go.security.dataflow.CommandInjectionCustomizations
import CommandInjectionFlow::PathGraph
/**
* A source of untrusted input from inside a container (workload)
*/
class WorkloadSource extends DataFlow::Node {
WorkloadSource() {// Environment variables,command line arguments,network input,etc.
any(DataFlow::Node src).(RemoteFlowSource) = src
or
// Any input received via AF_ALG socket from the container
exists(FileReadAccess f |f.getFile().getAbsolutePath().matches("%/proc/%/fd/%"))
}}
/**
* A sink that represents the splice() system call on AF_ALG socket
* which can corrupt page-cache pages
*/
class SpliceAlgSink extends DataFlow::Node {SpliceAlgSink() {exists(FunctionCall fc |fc.getTarget().getName() = "splice" and
fc.getAnArgument().(DataFlow::Node).asExpr().getType().(PointerType).getBaseType().getName() = "alg_socket"
)
}}
/**
* Sink for nft execution which can be poisoned via page-cache corruption
*/
class NftExecutionSink extends DataFlow::Node {NftExecutionSink() {exists(FunctionCall fc |
fc.getTarget().getName() = "exec" or
fc.getTarget().getName() = "execve" or
fc.getTarget().getName() = "syscall.Exec"
) and
fc.getAnArgument().(DataFlow::Node).asExpr().(StringLiteral).getValue().matches("*/nft*")
}}class PoC_CommandInjectionConfig extends TaintTracking::Configuration {PoC_CommandInjectionConfig() {this = "PoC_CommandInjectionConfig" }
override predicate isSource(DataFlow::Node source) {source instanceof WorkloadSource
}override predicate isSink(DataFlow::Node sink) {sink instanceof SpliceAlgSink or
sink instanceof NftExecutionSink
}}from PoC_CommandInjectionConfig cfg,DataFlow::PathNode source,DataFlow::PathNode sink
where cfg.hasFlowPath(source,sink)
select sink.getNode(),source,sink,
"Untrusted workload data flows to splice() or nft execution,enabling page-cache corruption and privilege escalation"🤖 本文由漏洞情报系统自动聚合生成 · 2026-08-07 07:07 · 数据源: NVD/GitHub-Advisory/OSV/CISA-KEV/Exploit-DB/PoC-in-GitHub + 检测规则库