[!WARNING] Usalo solo su sistemi di cui sei proprietario o su cui hai l'autorizzazione a testare.

RootRemover (CVE-2026-31431)

Rimuove temporaneamente la password di root, usando CVE-2026-31431 per consentire l'escalation a root indipendente dall'architettura senza conoscere la password dell'utente corrente.

Per favore, usalo responsabilmente, solo su sistemi su cui sei autorizzato a testare. Il supporto di questo metodo sul tuo sistema può variare, ma ha funzionato su ogni derivato Debian che ho testato.

Il PoC su cui si basa sostituiva essenzialmente il tuo UID con tutti 0 in /etc/passwd, dandoti di fatto root. Questo approccio rimuove invece la password di root, così quando esegui su ottieni subito root. Questo mantiene intatto il tuo utente per stabilità, con l'avvertenza che qualsiasi utente sulla macchina può elevare i privilegi fino alla pulizia. Non essendo una modifica binaria, dovrebbe funzionare su tutte le architetture (testato su Aarch64 e x64).

Usage

python exploit.py [ --shell | --clean | --noclean ]

Senza argomenti, il programma viene eseguito, apporta le modifiche a /etc/passwd e poi le annulla.

• --noclean impedisce che le modifiche vengano annullate dopo il termine.
• --clean pulisce solo da un'esecuzione precedente, non esegue l'exploit.
• --shell non pulisce, ma apre una shell di root con su dopo l'esecuzione dell'exploit.

What Changes?

To

La rimozione della 'x' che indica che la password è memorizzata in /etc/shadow farà sì che l'utente venga trattato come se non avesse alcuna password, consentendo un accesso facile.

When To Use This

Nel momento in cui ho scritto questo, c'erano solo PoC noti per CopyFail, uno che sovrascriveva un eseguibile SUID e uno che sostituiva l'UID del tuo utente con zeri. Entrambi hanno casi d'uso ragionevolmente diversi se stai eseguendo un test contro un sistema. Le sovrascritture SUID richiedono shellcode adattati all'architettura del sistema, e modificare il tuo UID richiede di riautenticarti con la password dell'utente corrente, che potresti non conoscere. RootRemover può spesso essere usato se questi requisiti intralciano.

È progettato per quando ottieni una shell con un utente nologin come www-data, non per una macchina di cui conosci la password o di cui conosci abbastanza l'architettura da preparare shellcode.

Advantages of this approach:

• Non devi conoscere la password dell'utente corrente
• È indipendente dall'architettura
• Funziona indipendentemente dal tuo UID attuale
• Mantiene intatto l'UID del tuo utente (stabilità per l'esecuzione di altre attività sul sistema sotto il tuo utente, evita di scrivere file come root per errore)
• Non richiede di scrivere shellcode in binari SUID, il che potrebbe causare problemi ai programmi che ne hanno bisogno

Disadvantages of this approach:

• Root non deve usare '*LK*' o '*NP*' nel campo password (potrebbe essere risolto con scritture concatenate, semplicemente non ho avuto tempo di implementarlo)
• L'elevazione potrebbe essere più facile da individuare tramite la riga di comando di su (nessun argomento significa sempre root, il PoC della patch UID sembra semplicemente un passaggio al proprio utente nei log)
• Chiunque può accedere come root, nella versione precedente serve comunque la tua password.
• Sembra funzionare principalmente su distribuzioni basate su Debian; le differenze nelle regole PAM e l'ordine in cui /etc/passwd o /etc/shadow vengono considerati influenzano il funzionamento su un sistema operativo.

Credits

Il codice exploit vero e proprio proviene dal repo di rootsecdev, per lo più sto cambiando i byte che vengono scritti per i motivi che ho descritto sopra.