CVE-2026-31431-CopyFail---Minified-LPE-PoC

⚠️ Aviso Legal

Para fins educacionais e de testes de segurança autorizados. Este Proof-of-Concept (PoC) foi sintetizado para emulação de Red Team autorizada e auditoria de vulnerabilidades. Os autores e contribuidores não assumem responsabilidade pelo uso indevido deste código. Não utilize este exploit contra sistemas que você não possui ou para os quais não possui permissão explícita e por escrito para testar.

📝 Visão Geral

O CVE-2026-31431 (conhecido coloquialmente como "Copy Fail") é uma vulnerabilidade de Escalação de Privilégio Local (LPE) na API Criptográfica do Kernel Linux (AF_ALG). Ao combinar um socket AF_ALG com a chamada de sistema splice(), um usuário sem privilégios pode forçar o kernel a escrever bytes arbitrários diretamente no cache de páginas em memória de um arquivo somente leitura. Esta implementação específica é altamente minificada (18 linhas), tornando-a ideal para operações de Red Team onde um atacante possui um shell restrito, não tem capacidade de upload de arquivos e deve digitar o exploit manualmente via modo interativo do python3.

⚙️ Estratégia do Exploit

Em vez de tentar injetar shellcode ELF complexo em um binário setuid (que muitas vezes falha devido ao padding e às restrições de cabeçalho), este script tem como alvo o /etc/passwd.

1. Ele localiza o campo UID do usuário atual no arquivo.
2. Ele usa o socket AF_ALG para fazer splice de zero-copy de um payload de 0000 sobre o UID existente.
3. Como a modificação ocorre na RAM (Page Cache) e não no disco, ela contorna o monitoramento padrão de integridade de arquivos (FIM).
4. Chamar su <current_user> verifica o cache corrompido, vê UID 0, valida a senha normal do usuário e fornece um shell root.

🚀 Pré-requisitos

Os módulos criptográficos vulneráveis devem estar carregados no kernel para que este exploit funcione: sudo modprobe algif_aead authencesn

🎯 Execução e Verificação

1. Execute o script.
2. O script irá pausar e solicitar uma senha: Password:
3. Digite a senha do seu usuário atual.
4. O prompt mudará para #. Verifique com id (uid=0(root)). Note: Se o script for concluído mas você encontrar uma "Falha de Autenticação", o daemon de cache do serviço de nomes do sistema (nscd ou sssd) pode estar armazenando em cache seu antigo UID. Execute nscd -i passwd (se disponível) ou execute su - para forçar uma atualização.

🧹 Limpeza / Remediação

Este exploit altera apenas a memória volátil do sistema. Para reverter o sistema ao seu estado seguro e restaurar o mapeamento UID apropriado sem reiniciar, remova a página corrompida do cache:

Must be executed as root

echo 3 > /proc/sys/vm/drop_caches