CVE-2026-31431 PoC 清单与故障排查 — theori-io copy_fail_exp.py 不工作问题分析

AttributeError: module 'os' has no attribute 'splice'

# A. 升级 Python
sudo apt install python3.10  # Ubuntu/Debian
python3.10 copy_fail_exp.py

# B. 使用 pyenv 管理多版本
curl https://pyenv.run | bash
pyenv install 3.11.0
pyenv local 3.11.0
python copy_fail_exp.py

# C. 使用社区兼容版本（推荐）
git clone https://github.com/rootsecdev/cve_2026_31431.git
cd cve_2026_31431
python3 exploit_cve_2026_31431.py

FileNotFoundError: [Errno 2] No such file or directory: '/usr/bin/su'

# A. 检查 su 位置
which su

# B. 修改脚本（如果你要用原版）
sed -i 's|/usr/bin/su|/bin/su|g' copy_fail_exp.py

# C. 使用自适应版本
python3 -c "
import subprocess, os
su_path = subprocess.check_output(['which', 'su']).decode().strip()
print(f'su 位于: {su_path}')
"

OSError: [Errno 2] No such file or directory
# 或者脚本执行没有效果

# 1. 检查模块是否可加载
sudo modprobe -n -v algif_aead
# 期望: 正常输出模块路径，或报错 "blacklisted"

# 2. 检查 modprobe 配置
grep -r algif_aead /etc/modprobe.d/
cat /proc/modules | grep algif

# 3. 检查内核版本是否已修复
uname -r
# 对比已知修复版本：6.18.22, 6.19.12, 7.0+

# 4. 绕过检查：强制加载（谨慎）
sudo rmmod algif_aead 2>/dev/null
sudo modprobe algif_aead
lsmod | grep algif_aead

# 需要特权模式或 capabilities
docker run --privileged -it ubuntu:20.04
# 或
docker run --cap-add=SYS_ADMIN -it ubuntu:20.04

# 检查 security.nesting 是否启用
lxc config get container security.nesting

# 运行 PoC 后检查
sudo rmmod algif_aead
echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif_aead.conf

# su 依然可以获得 root（即使模块已禁用）
su  # <- 这里依然是 rootshell

# 使用安全检测脚本（无破坏性）
git clone https://github.com/liamromanis101/CVE-2026-31431-Copy-Fail---Vulnerability-Detection-Script.git
cd CVE-2026-31431-Copy-Fail---Vulnerability-Detection-Script
python3 detect.py

# A. 通用兼容版（Python 任意版本）
git clone https://github.com/rootsecdev/cve_2026_31431.git
cd cve_2026_31431
python3 test_cve_2026_31431.py    # 检测
python3 exploit_cve_2026_31431.py # 利用

# B. 高级功能版（自定义 payload）
git clone https://github.com/DENNISDGR/CVE-2026-31431-poc.git
cd CVE-2026-31431-poc  
python3 exploit.py --cmd "id; whoami; uname -a"

# C. 性能优化版（C 实现）
git clone https://github.com/Smarttfoxx/copyfail.git
cd copyfail
make
./copyfail

# D. 容器逃逸测试（K8s 环境）
git clone https://github.com/Percivalll/Copy-Fail-CVE-2026-31431-Kubernetes-PoC.git
# 按照 README 在 K8s 环境部署测试

# eBPF 运行时阻断测试
git clone https://github.com/SpenserCai/copy_fail.git
cd copy_fail
# 先启动 eBPF 防御，再测试 PoC 是否被拦截

# 1. 确认 kmod 版本（Ubuntu）
dpkg -l kmod | awk '/^ii/{print $2,$3}'
# Ubuntu 20.04 ESM: >= 27-1ubuntu2.1+esm1

# 2. 尝试手动加载（应该失败）
sudo modprobe algif_aead
lsmod | grep algif_aead || echo "模块被阻止，缓解生效"

# 3. 使用 PoC 验证（应该失败）
python3 -c "
import socket
s = socket.socket(38, 5, 0)  # AF_ALG
try:
    s.bind(('aead', 'gcm(aes)'))
    print('VULNERABLE: algif_aead 可绑定')
except:
    print('MITIGATED: algif_aead 绑定失败')
"

# 检查当前内核是否包含修复
uname -r
dmesg | grep -i "copy.fail\|algif\|aead"

# Ubuntu Security 查询
curl -s "https://ubuntu.com/security/cves/cve-2026-31431.json" | jq '.releases'