Exploit for CVE-2026-31431-Copy-Fail-add-arm64

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-0XER0-CVE-2026-31431-COPY-FAIL-ADD-ARM64
## 취약점 개요

항목| 내용  
---|---  
CVE 번호| CVE-2026-31431  
취약점 이름| Copy Fail  
취약점 유형| Linux 커널 로컬 권한 상승 (LPE)  
CVSS 3.1 점수| 7.8 (HIGH)  
CWE| CWE-669: Incorrect Resource Transfer Between Spheres  
영향 범위| 2017년부터 2026년 4월까지 빌드된 모든 Linux 커널  
CISA KEV| 등재됨, 수정 기한 2026-05-15  
공개 시간| 2026-04-29  
  
### 취약점 원리

2017년 커널은 `algif_aead` 암호화 모듈에 제자리 암호화 최적화(in-place optimization)를 도입했습니다. 이 최적화로 인해 page-cache 페이지가 잘못하여 쓰기 가능한 대상 scatterlist에 포함됩니다. 공격자는 `AF_ALG` 소켓과 `splice()` 시스템 콜을 조합하여 임의 파일(root 소유의 읽기 전용 파일 포함)의 page cache에 데이터를 쓸 수 있습니다.

**공격 체인** : `AF_ALG socket` → `splice()` → page-cache 쓰기 프리미티브 → setuid 바이너리 page cache 변조 → 해당 파일 실행으로 root 권한 획득

**공격 특징** :

  * 경쟁 조건 없음(race condition이 아닌 직접적인 논리 결함)
  * 커널 디버그 기능 불필요
  * 특정 아키텍처 오프셋 조정 불필요
  * 범용 익스플로잇 스크립트는 약 732바이트에 불과하며 모든 주요 배포판에서 유효



* * *

## 영향 범위

### 검증된 영향 배포판

배포판| 영향 커널 버전  
---|---  
Ubuntu 24.04 LTS| 6.17.0-1007-aws  
Amazon Linux 2023| 6.18.8-9.213.amzn2023  
RHEL 10.1| 6.12.0-124.45.1.el10_1  
SUSE 16| 6.12.0-160000.9-default  
  
Debian, Arch, Fedora, Rocky, Alma, Oracle 등의 배포판에서도 동일한 커널 범위가 영향을 받습니다.

### 영향 커널 버전 범위

커널 버전이 아래 수정 버전보다 낮은 경우 모두 영향 범위에 해당합니다:

* * *

## 진단 방법

### 1\. 커널 버전 확인

root@kitploit:~
    
    
    uname -r
    

출력 결과를 위 표의 수정 버전과 비교하여, 수정 버전보다 낮으면 영향 범위에 해당합니다.

### 2\. AF_ALG 연결 확인

root@kitploit:~
    
    
    # 현재 AF_ALG 연결이 있는지 확인
    lsof | grep AF_ALG
    
    # AF_ALG socket 상태 확인
    ss -xa | grep alg
    

### 3\. algif_aead 모듈 로드 여부 확인

root@kitploit:~
    
    
    lsmod | grep algif_aead
    

출력이 있으면 모듈이 로드된 것이며, 악용 위험이 존재합니다.

### 4\. 취약점 검증(승인된 테스트 환경에서만)

root@kitploit:~
    
    
    # PoC 저장소 클론
    git clone https://github.com/cx330zer0/CVE-2026-31431-Copy-Fail-add-arm64.git
    cd CVE-2026-31431-Copy-Fail-add-arm64
    
    # PoC 실행(비특권 사용자 권한 필요)
    python3 copy-fail-dual-arch.py
    

![image](https://assets.kitploit.com/production/public/readmes/52901/a4c8ef507aa631adbe751b10490504a499550f4b7ab256f676880fb623a62df6/126df33e381f60a40f38644f67207ce1ec3288d8a14e8eb2cdaec21340633f10-display-v1.webp)

PoC가 성공적으로 root 셸을 획득하면 시스템에 해당 취약점이 존재함을 의미합니다.