Exploit Copy-Fail (CVE-2026-31431)

Exploit de escalada de privilegios local dirigido a una vulnerabilidad de copy-on-write del kernel de Linux mediante sockets AF_ALG y operaciones splice.

Resumen

Este exploit abusa de una condición de corrupción de memoria a nivel de kernel en el subsistema criptográfico de Linux (AF_ALG) combinada con mecanismos de copia cero (splice) para modificar un binario privilegiado en memoria.

Al parchear /usr/bin/su en tiempo de ejecución, permite escalar a root sin necesidad de credenciales válidas.

Uso

Compila estáticamente para poder usarlo en cualquier entorno Linux sin necesidad de Python ni librerías adicionales.

gcc -o exploit exploit.c -lz -static
./exploit

Cómo Funciona

1. Abre /usr/bin/su
2. Crea un socket AF_ALG AEAD
3. Desencadena la corrupción de memoria del kernel mediante operaciones de socket manipuladas
4. Usa llamadas al sistema splice() para la manipulación de memoria de copia cero
5. Sobrescribe la lógica de autenticación en memoria
6. Ejecuta su parcheado para obtener una shell de root

Requisitos

• Versión vulnerable del kernel de Linux
• CONFIG_CRYPTO_USER_API_AEAD habilitado
• Namespaces de usuario permitidos
• Acceso a shell local

Detección y Mitigación

• Aplica el parche a una versión corregida del kernel cuando esté disponible

• Deshabilita los namespaces de usuario sin privilegios si no son necesarios:

  sysctl -w kernel.unprivileged_userns_clone=0

• Supervisa el uso sospechoso de:

  • Sockets AF_ALG
  • Llamadas al sistema splice()

• Aplica endurecimiento del kernel (LSM, seccomp, etc.)

Aviso Legal

Solo con fines educativos y de investigación de seguridad autorizada.
El uso no autorizado de este exploit puede violar las leyes aplicables. No soy el autor del código original ni fui quien descubrió el CVE.

Referencia

• CVE: CVE-2026-31431
• Componente: Kernel de Linux (AF_ALG / subsistema criptográfico)
• Clase: Use-After-Free / corrupción de Copy-On-Write