Exploit Copy-Fail (CVE-2026-31431)

Exploit de escalada de privilégios local que visa uma vulnerabilidade de copy-on-write no kernel Linux por meio de sockets AF_ALG e operações splice.

Visão Geral

Este exploit abusa de uma condição de corrupção de memória no nível do kernel no subsistema de criptografia do Linux (AF_ALG) combinada com mecanismos de zero-copy (splice) para modificar um binário privilegiado em memória.

Ao corrigir /usr/bin/su em tempo de execução, ele permite a escalada para root sem exigir credenciais válidas.

Uso

Compile estaticamente para poder usar em qualquer ambiente Linux sem necessidade de Python ou bibliotecas adicionais.

gcc -o exploit exploit.c -lz -static
./exploit

Como Funciona

1. Abre /usr/bin/su
2. Cria um socket AF_ALG AEAD
3. Aciona a corrupção de memória do kernel por meio de operações de socket manipuladas
4. Usa chamadas de sistema splice() para manipulação de memória zero-copy
5. Sobrescreve a lógica de autenticação em memória
6. Executa o su corrigido para obter um shell root

Requisitos

• Versão vulnerável do kernel Linux
• CONFIG_CRYPTO_USER_API_AEAD habilitado
• Namespaces de usuário permitidos
• Acesso a shell local

Detecção e Mitigação

• Aplique o patch para uma versão corrigida do kernel assim que disponível

• Desative namespaces de usuário sem privilégios se não forem necessários:

  sysctl -w kernel.unprivileged_userns_clone=0

• Monitore uso suspeito de:

  • Sockets AF_ALG
  • Chamadas de sistema splice()

• Aplique endurecimento do kernel (LSM, seccomp, etc.)

Aviso Legal

Apenas para fins educacionais e de pesquisa de segurança autorizada.
O uso não autorizado deste exploit pode violar leis aplicáveis. Não sou o autor do código original nem fui quem encontrou o CVE.

Referência

• CVE: CVE-2026-31431
• Componente: Kernel Linux (AF_ALG / subsistema de criptografia)
• Classe: Use-After-Free / corrupção de Copy-On-Write