copyfail-rs

Copy Fail エクスプロイト（CVE-2026-31431）のRust実装です。AF_ALGとsplice()を連鎖させて4バイトのページキャッシュ書き込みを実現する重大な脆弱性であり、主要なLinuxディストリビューションにおけるローカル権限昇格につながります。

Xint Codeによる研究とPoCに基づいています。

免責事項

[!CAUTION] このプロジェクトは教育および研究目的のみを対象としています。所有していないシステムや明示的なテスト許可がないシステムでこのエクスプロイトを実行することは違法かつ非倫理的です。類似の脆弱性を理解し防御するために、このコードを責任を持って使用してください。

特徴

• 純粋なRust: 元のPython PoCを高性能かつメモリ安全な実装に置き換え。
• 動的ELFビルダー: 実行時にエクスプロイトペイロードをプログラム的に構築し、カスタムコマンドを可能にします。
• ゼロコピーエクスプロイト: libcを介してLinuxカーネルのAF_ALGおよびsplice()システムコールと直接やり取りします。
• カスタマイズ可能: CLI引数でrootとして実行するコマンドを指定できます。

クイックスタート（ワンライナー）

プリコンパイル済みのPoCバイナリを直接ダウンロードして実行できます：

curl -L https://github.com/sammwyy/copyfail-rs/releases/download/poc/copyfail-rs_x86-64 -o copyfail-rs && chmod +x copyfail-rs && ./copyfail-rs

前提条件

• CVE-2026-31431の影響を受けるLinuxカーネル（通常は2026年4月のパッチ適用前のカーネル）。
• 読み取り権限のあるターゲットバイナリへのアクセス（デフォルトは/usr/bin/su）。

インストール

リポジトリをクローンしてバイナリをビルドします：

git clone https://github.com/sammwyy/copyfail-rs.git
cd copyfail-rs
cargo build --release

使用方法

引数なしでエクスプロイトを実行すると、デフォルトで/bin/shが実行されます：

./target/release/copyfail-rs

または、rootとして実行するカスタムコマンドを指定します：

./target/release/copyfail-rs "whoami > /tmp/pwned"

動作原理

このエクスプロイトは、LinuxカーネルのCrypto API（AF_ALG）におけるauthencesn実装のバグを利用します。MSG_MOREを指定したsendmsgとsplice()を連鎖させることで、任意のファイル（/usr/bin/suなど）のページキャッシュの小さなチャンクを悪意のあるELFペイロードで上書きすることが可能になります。

1. ソケット設定: AF_ALGソケットを作成し、authencesn(hmac(sha256),cbc(aes))にバインドします。
2. ペイロード生成: ターゲットコマンドをroot権限で実行する最小限のELFをメモリ内に構築します。
3. キャッシュ注入: AF_ALGの脆弱性を利用して、ペイロードをターゲットファイルのページキャッシュに反復的にスプライスします。
4. トリガー: 改変されたターゲットファイルを実行し、注入されたシェルコードを実行します。

参考情報

• 元のブログ記事 - Xint Code
• CVE-2026-31431の詳細