Wrapper de PoC de comando Copy Fail

Un pequeño wrapper de prueba de concepto modificado para Copy Fail / CVE-2026-31431 que permite pasar un comando personalizado desde la terminal en lugar de lanzar siempre un shell root interactivo, para que pueda ejecutarse en un entorno no interactivo como un web shell.

Este proyecto se basa en la investigación pública de Copy Fail y en el PoC.

⚠️ Aviso legal

Este repositorio se proporciona únicamente con fines educativos, de investigación y de validación defensiva.

Ejecute este código solo en sistemas que le pertenezcan o para los que tenga permiso explícito de prueba.

Este PoC puede corromper la caché de páginas en memoria de un binario objetivo como /usr/bin/su.

No lo ejecute en sistemas de producción.

Antecedentes

Copy Fail, registrado como CVE-2026-31431, es una vulnerabilidad de escalada de privilegios local en el kernel de Linux que involucra la API criptográfica del kernel, específicamente la ruta AF_ALG / algif_aead.

A alto nivel, el fallo puede permitir escrituras controladas en la caché de páginas de archivos legibles. Las demostraciones públicas suelen apuntar a binarios SUID como /usr/bin/su para obtener privilegios de root.

Este repositorio no reclama el descubrimiento de la vulnerabilidad. Es una pequeña modificación/wrapper alrededor del comportamiento del PoC público para admitir una carga útil de comando configurable.

Créditos

Todo el crédito por la investigación original, la divulgación de la vulnerabilidad y el PoC público corresponde a los autores e investigadores originales:

• PoC de Copy Fail de THEORI:
  https://github.com/theori-io/copy-fail-CVE-2026-31431

• Sitio web oficial de Copy Fail:
  https://copy.fail/

• Informe técnico de Xint:
  https://xint.io/blog/copy-fail-linux-distributions

Lea y consulte el material original para el análisis real de la vulnerabilidad.

Qué cambia esta versión

El PoC público original es extremadamente compacto y utiliza una carga útil incrustada fija.

Esta versión añade:

• soporte de argumentos de línea de comandos
• ejecución de comandos configurable
• salida más clara durante las pruebas

Requisitos

El sistema objetivo debe exponer las interfaces de socket criptográficas de Linux necesarias.

El PoC depende de:

• Linux
• Python 3
• soporte de AF_ALG
• soporte de algif_aead
• versión/configuración vulnerable del kernel
• binario SUID objetivo legible, normalmente /usr/bin/su

Uso

Verificación predeterminada:

python3 CVE-2026-31431.py

Esto intenta ejecutar:

id > /tmp/id.txt

Luego verifique:

cat /tmp/id.txt

Comando personalizado:

python3 CVE-2026-31431.py -c 'ls -la /root'

Restaurar /usr/bin/su

Si probó contra /usr/bin/su, restáurelo después de las pruebas.

En Debian/Ubuntu:

sudo apt install --reinstall util-linux

Notas

Este repositorio es solo una pequeña adaptación del comportamiento del PoC público de Copy Fail. La investigación de la vulnerabilidad, el análisis de la causa raíz y la técnica de explotación original pertenecen a los investigadores originales.

De nuevo, reconocimiento y crédito para:

• https://github.com/theori-io/copy-fail-CVE-2026-31431
• https://copy.fail/
• https://xint.io/blog/copy-fail-linux-distributions