copyfail_su.py

Porte em Python de badsectorlabs/copyfail-go (CVE-2026-31431). Apenas Linux; requer Python 3.10+ (os.splice).

Como obtém root (importante)

Esta ferramenta não usa o truque de page cache do /etc/passwd.

• Ela sobrescreve o page cache do binário setuid su com shellcode embutido (mesmos payloads do main.go em Go) e, em seguida, executa su.
• A elevação vem da execução da imagem em cache corrompida de su como um programa setuid root, e não de fazer o getpwnam() pensar que seu UID é 0 via /etc/passwd.

Outros PoCs públicos em Python para a mesma CVE podem corrigir o /etc/passwd no page cache e depois instruí-lo a executar su <user>. Esse é um arquivo-alvo diferente e um passo seguinte diferente em relação a este script.

Uso

Somente para testes autorizados — use apenas em hosts que você possui ou para os quais tem permissão explícita de avaliação.

chmod +x copyfail_su.py

# Fluxo estilo interativo (mesma ideia do copyfail-go sem --exec)
./copyfail_su.py --backup /tmp/su.bak

# Executa outro programa elevado (passa o caminho como argv para su; usa payload exec-argv1)
./copyfail_su.py --backup /tmp/su.bak --exec /caminho/completo/para/binario

Após uma execução bem-sucedida, restaure o su real.

Recuperação sem --backup

O PoC corrompe o page cache de /usr/bin/su. Não presuma que o arquivo em disco ainda é confiável até verificar ou reinstalar.

1. Reinstale o pacote que possui /usr/bin/su (encontre-o primeiro, depois reinstale):

   • Família RPM: rpm -qf /usr/bin/su e depois sudo dnf reinstall shadow-utils (use o nome do pacote informado).
   • Debian/Ubuntu: dpkg -S /usr/bin/su e depois sudo apt install --reinstall <pacote>.

2. Verifique: sudo rpm -V <pacote> para alterações inesperadas em /usr/bin/su, ou debsums em sistemas estilo Debian.

3. Opcional: reinicie após a reinstalação para evitar suposições de cache obsoleto.

4. Se não puder reinstalar como root: boot de recuperação, Live USB ou substitua /usr/bin/su a partir de uma imagem conhecida e íntegra da mesma distro/versão/arquitetura; garanta a propriedade root:root e o modo 4755 ().

Referências

• copyfail-go
• copy.fail