copy-fail

CVE-2026-31431 (Copy Fail) PoC en C, alineado lógicamente con el exploit Python original theori-io/copy-fail-CVE-2026-31431.

Solo para investigación de seguridad autorizada y entornos de prueba. Prohibido su uso en sistemas no autorizados.

Resumen del principio

En Linux AF_ALG, authencesn(hmac(sha256),cbc(aes)) en la ruta splice + AEAD puede escribir 4 bytes del AAD en el caché de páginas del archivo objetivo (el contenido del disco no cambia).

El exploit de este repositorio se comporta de manera idéntica al original:

1. Escribir, byte a byte (4 bytes cada vez), un pequeño ELF descomprimido con zlib en el caché de páginas de /usr/bin/su
2. Ejecutar su, que carga el su falso desde el caché de páginas alterado, obteniendo normalmente un shell root sin contraseña

Estructura del directorio

copy-fail/
├── include/
│   ├── copy_fail.h
│   └── su_payload_zlib.h
├── src/
│   ├── alg.c           # AF_ALG / splice 原语
│   ├── util.c          # 前置检查
│   ├── test_main.c     # 漏洞检测
│   └── exploit_main.c  # 提权
├── Makefile
└── README.md

Dependencias

Ubuntu / Debian：

sudo apt install build-essential zlib1g-dev

Compilación

cd copy-fail
make

Genera：

Producto	Descripción
bin/copy-fail-test	Detección de vulnerabilidad (archivo centinela temporal, no modifica archivos del sistema)
bin/copy-fail-exploit	Escalada de privilegios (modifica el caché de páginas de /usr/bin/su y luego exec su)

Compilación estática (copiar a máquinas con glibc antigua)

Después de compilar en un sistema con versión reciente, si aparece GLIBC_2.34 / GLIBC_2.38 not found, ejecute en la máquina de compilación:

make static

Copie bin/copy-fail-test y bin/copy-fail-exploit a la máquina objetivo para ejecutarlos. También puede ejecutar make directamente en el código fuente en la máquina objetivo (enlace dinámico, tamaño más pequeño).

Uso

Detección

./bin/copy-fail-test
echo $?

Código de salida	Significado
0	No muestra características de vulnerabilidad / condiciones previas no cumplidas
2	Presenta características de vulnerabilidad
1	Error durante la prueba

Escalada de privilegios

./bin/copy-fail-exploit
id

Sin salida es normal por diseño; si tiene éxito, se obtiene un shell root. En caso de fallo, echo $? normalmente devuelve 1.

Condiciones previas

• El kernel puede crear un socket AF_ALG
• Se puede bind el algoritmo authencesn(hmac(sha256),cbc(aes))
• Permiso de lectura en /usr/bin/su
• splice puede escribir en el socket AF_ALG

Si el detector muestra cannot be instantiated (No such file or directory):

grep -r algif_aead /etc/modprobe.d/
sudo modprobe algif_aead
grep authencesn /proc/crypto

Algunas distribuciones deshabilitan algif_aead mediante modprobe (por ejemplo, mitigación de Ubuntu USN); es necesario deshabilitarlo en una máquina de prueba con root antes de probar.

Limpieza

Después de la prueba de escalada de privilegios (en el shell root), se puede descartar la contaminación del caché de páginas:

echo 3 > /proc/sys/vm/drop_caches

O reiniciar la máquina virtual.

Referencias

• CVE-2026-31431
• theori-io/copy-fail-CVE-2026-31431