CopyFail (CVE-2026-31431)

अवलोकन

CopyFail CVE-2026-31431 के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट है, जो Linux Kernel Crypto API (AF_ALG) में मेमोरी करप्शन कमजोरी को लक्षित करता है। यह एक्सप्लॉइट /usr/bin/su बाइनरी के अनधिकृत पेज-कैश पैचिंग के लिए splice सिस्टम कॉल का उपयोग करता है, जिससे बिना पासवर्ड के रूट तक पहुंच संभव होती है।

तकनीकी विश्लेषण

मूल कारण

यह कमजोरी Linux कर्नेल में AF_ALG सॉकेट्स और अन्य फाइल डिस्क्रिप्टर के बीच splice के माध्यम से ज़ीरो-कॉपी डेटा ट्रांसफर के हैंडलिंग में निहित है। aead इम्प्लीमेंटेशन में अनुचित सिंक्रोनाइज़ेशन या बाउंड्स चेकिंग के कारण, क्रिप्टो इंजन द्वारा प्रोसेस किया गया डेटा स्रोत फाइल के पेज कैश में वापस लिखा जा सकता है।

एक्सप्लॉइट पद्धति

1. मेमोरी करप्शन ट्रिगर: एक्सप्लॉइट एक AF_ALG सॉकेट इनिशियलाइज़ करता है और सॉकेट के आंतरिक बफर में एक दुर्भावनापूर्ण पेलोड को क्यू करने के लिए sendmsg का उपयोग करता है।
2. पेज-कैश इंजेक्शन: /usr/bin/su बाइनरी से AF_ALG सॉकेट में डेटा ट्रांसफर करने के लिए splice को कॉल करके, कमजोरी सॉकेट के बफर सामग्री को मेमोरी में बाइनरी के पेज कैश को ओवरराइट करने का कारण बनती है।
3. प्रमाणीकरण बायपास: एक्सप्लॉइट su के प्रमाणीकरण लॉजिक को एक न्यूनतम ELF पेलोड से बदल देता है जो रूट शेल स्पॉन करता है। चूंकि पेज कैश संशोधित हो जाता है, su के बाद के निष्पादन मूल बाइनरी के बजाय हमलावर का कोड चलाते हैं।

विशेषताएं

• शून्य निर्भरताएं: सभी कर्नेल इंटरैक्शन के लिए RawSyscall का उपयोग करने वाला शुद्ध Go इम्प्लीमेंटेशन।
• पेज-कैश पैचिंग: AF_ALG/splice इंटरैक्शन के माध्यम से कर्नेल की फाइल कैश का सीधा हेरफेर।
• न्यूनतम फुटप्रिंट: बिना किसी स्टैंडर्ड लाइब्रेरी ओवरहेड के अनुकूलित बाइनरी आकार (कोई fmt या os पैकेज नहीं)।

इंस्टॉलेशन और उपयोग

बिल्ड

वर्तमान आर्किटेक्चर के लिए एक्सप्लॉइट संकलित करें:

go build -ldflags="-s -w" -o CopyFail CVE-2026-31431.go

निष्पादन

संकलित बाइनरी चलाएं:

./CopyFail

सफल निष्पादन पर, su बाइनरी को मेमोरी में पैच किया जाएगा और निष्पादित किया जाएगा, जिससे रूट शेल प्राप्त होगा।

प्रूफ ऑफ कॉन्सेप्ट (Kali Linux)

निम्नलिखित प्रदर्शन एक मानक Kali Linux इंस्टॉलेशन पर एक्सप्लॉइट के संकलन और निष्पादन को दर्शाता है।

# 1. वर्तमान अनप्रिविलेज्ड उपयोगकर्ता सत्यापित करें
kali@kali:~$ whoami
kali

# 2. एक्सप्लॉइट संकलित करें
kali@kali:~$ go build -ldflags="-s -w" -o CopyFail CVE-2026-31431.go

# 3. CopyFail एक्सप्लॉइट निष्पादित करें
kali@kali:~$ ./CopyFail
[+] Triggering AF_ALG memory corruption...
[+] Patching /usr/bin/su in page-cache...
[+] Executing patched binary...

# 4. सफलता: रूट शेल तक उन्नत
root@kali:/home/kali# id
uid=0(root) gid=0(root) groups=0(root)

root@kali:/home/kali# whoami
root

उपचार

इस कमजोरी को कम करने के लिए, निम्नलिखित कदम अनुशंसित हैं:

1. कर्नेल अपडेट: एक Linux कर्नेल संस्करण में अपग्रेड करें जिसमें CVE-2026-31431 के लिए फिक्स शामिल हो।
2. AF_ALG अक्षम करें: यदि सॉकेट-आधारित क्रिप्टो API आवश्यक नहीं है, तो af_alg और संबंधित मॉड्यूल अक्षम करें:
   root@kitploit:~

   modprobe -r af_alg
   

3. Splice की निगरानी: संवेदनशील सिस्टम बाइनरी को लक्षित करने वाले संदिग्ध splice कॉल की निगरानी के लिए सुरक्षा ऑडिटिंग टूल्स (जैसे auditd) का उपयोग करें।

सुरक्षा विचार

⚠️ चेतावनी: यह टूल केवल अधिकृत सुरक्षा अनुसंधान और शैक्षिक उद्देश्यों के लिए है। पेज कैश को पैच करना एक अस्थिर ऑपरेशन है और सिस्टम अस्थिरता का कारण बन सकता है। लेखक दुरुपयोग के लिए कोई जिम्मेदारी नहीं लेता है।

क्रेडिट

CVE-2026-31431 ("Copy Fail") की खोज और प्रकटीकरण Theori की अनुसंधान टीम द्वारा किया गया था।

लाइसेंस

यह प्रोजेक्ट MIT LICENSE के तहत लाइसेंस प्राप्त है।