CVE-2026-31431 — Dépôt de recherche « Copy Fail »

Une élévation de privilèges locale Linux fiable à 100 % affectant toutes les distributions grand public depuis 2017.

Un bug logique dans authencesn, enchaîné via AF_ALG et splice() en une écriture de 4 octets dans le cache de pages — exploitable silencieusement pendant près d'une décennie.

⚠️ Avertissement

Tout le code et toute la documentation de ce dépôt sont fournis exclusivement à des fins de recherche en sécurité autorisée et à des fins pédagogiques.

Exécuter du code d'exploitation contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite explicite de test est illégal. En utilisant ce dépôt, vous acceptez l'entière responsabilité de vos actions.

Vue d'ensemble

Pourquoi Copy Fail est différent

Structure du dépôt

.
├── README.md                          ← Vous êtes ici
├── LICENSE                            ← MIT
├── .gitignore
├── docs/
│   ├── analysis-report.md             ← Analyse de sécurité complète
│   ├── analysis-report.html           ← Version HTML stylisée
│   ├── exploit-walkthrough.md         ← Analyse du PoC ligne par ligne
│   └── exploit-walkthrough.html       ← Version HTML stylisée
└── poc/
    ├── README.md                      ← Guide d'utilisation du PoC
    ├── copy_fail_exp.py               ← PoC officiel (732 octets, obfusqué)
    ├── copy_fail_exp_readable.py      ← Version désobfusquée + annotée
    ├── copy_fail_exp_compat.py        ← Compatibilité Python 3.6+ (ctypes splice)
    ├── copy_fail_exp_alpine.py        ← Variante Alpine Linux
    ├── copy_fail_exp.c                ← Implémentation C (zéro dépendance)
    ├── copy_fail_exp.go               ← Implémentation Go (zéro dépendance)
    ├── copy_fail_rust/                ← Implémentation Rust
    │   ├── Cargo.toml
    │   └── src/main.rs
    ├── check_vulnerable.py            ← Scanner de vulnérabilité
    └── mitigate.sh                    ← Script d'atténuation en un clic

Démarrage rapide

Télécharger la version précompilée

# Depuis GitHub Releases — binaires précompilés (Linux amd64/arm64) + tous les scripts Python
wget https://github.com/nisec-eric/cve-2026-31431/releases/latest/download/copy-fail-go-linux.tar.gz
wget https://github.com/nisec-eric/cve-2026-31431/releases/latest/download/copy-fail-c-linux.tar.gz
wget https://github.com/nisec-eric/cve-2026-31431/releases/latest/download/copy-fail-python.tar.gz

tar xzf copy-fail-go-linux.tar.gz
tar xzf copy-fail-c-linux.tar.gz
tar xzf copy-fail-python.tar.gz

# Binaire statique Go (pas besoin de Python)
chmod +x copy-fail-exp-amd64
./copy-fail-exp-amd64

# Binaire statique C
chmod +x copy-fail-exp-c-amd64
./copy-fail-exp-c-amd64

# Ou utilisez directement les scripts Python
python3 check_vulnerable.py

📦 Les versions sont automatiquement compilées via GitHub Actions à chaque push de tag v*. Les binaires Go et C sont compilés pour linux/amd64 et linux/arm64 en tant que binaires statiques.

1. Vérifier si votre système est vulnérable

python3 poc/check_vulnerable.py

2. Appliquer l'atténuation (sans redémarrage)

sudo bash poc/mitigate.sh

Cela met sur liste noire le module noyau algif_aead — ne casse rien pour 99 % des systèmes.

3. Corriger correctement — mettre à niveau votre noyau

# Debian/Ubuntu
sudo apt update && sudo apt upgrade linux-image-*

# RHEL/CentOS/Fedora
sudo dnf update kernel

# Redémarrer sur le noyau corrigé
sudo reboot

4. Vérifier

python3 poc/check_vulnerable.py
# Code de sortie 1 = protégé ✓

Exploits PoC

AVERTISSEMENT : À exécuter uniquement sur des systèmes que vous possédez ou pour lesquels vous êtes autorisé à tester.

# C
gcc -static -o exp ./poc/copy_fail_exp.c && ./exp

# Python
python3 poc/copy_fail_exp.py
python3 poc/copy_fail_exp_compat.py        # Python < 3.10

# Go
go build -o exp ./poc/copy_fail_exp.go && ./exp

# Rust
cd poc/copy_fail_rust && cargo run --release

Toutes les versions acceptent un argument optionnel pour cibler un binaire SUID différent :

python3 poc/copy_fail_exp.py /usr/bin/passwd
./exp /usr/bin/sudo

Documentation

📄 Rapport d'analyse de sécurité (HTML)

Évaluation complète de la vulnérabilité couvrant :

• Cause racine technique (provenance des pages scatterlist, écriture scratch authencesn)
• Versions affectées et état des correctifs par distribution
• Remédiation pour Linux sur métal nu, Kubernetes, Docker, WSL2
• Conseils de détection et de surveillance (auditd, SELinux, intégrité des fichiers)
• Chronologie de divulgation

📄 Analyse détaillée de l'exploit (HTML)

Analyse du PoC ligne par ligne couvrant :

• Source complète désobfusquée avec annotations
• Internes du noyau : flux de socket AF_ALG, livraison splice() dans le cache de pages, mécanique sg_chain()
• L'écriture scratch ESN authencesn qui franchit les limites des scatterlist
• Analyse de la charge utile (shellcode ELF de 160 octets)
• Variantes d'attaque : injection /etc/passwd, ciblage de bibliothèques partagées, évasion de conteneur
• Limites et frontières de l'attaque

Impact par environnement

Références clés

• copy.fail — Page officielle de la vulnérabilité
• Blog Xint — Analyse technique — Plongée dans la cause racine
• Entrée NVD
• Avis GitHub GHSA-2274-3hgr-wxv6
• Correctif du noyau (commit a664bf3d603d)
• Dépôt PoC officiel
• Avis Red Hat | Ubuntu | SUSE | Amazon Linux

Contribution

Les contributions sont les bienvenues :

• Implémentations PoC supplémentaires (Zig, etc.)
• Résultats de tests spécifiques aux distributions
• Règles de détection (Snort, Suricata, YARA, Sigma)
• Traductions de la documentation

Veuillez ouvrir une issue ou une pull request.

Licence

MIT — À utiliser de manière responsable.