Kit de Detecção CVE-2026-31431 (Copy Fail)

Kit de detecção e análise para CVE-2026-31431 "Copy Fail" - uma vulnerabilidade crítica de Escalação Local de Privilégios no Linux que afeta distribuições desde 2017.

Visão Geral da Vulnerabilidade

CVE-2026-31431 explora uma falha lógica na implementação algif_aead do kernel Linux, permitindo escalação local de privilégios confiável através de:

• Bug lógico na API de criptografia do kernel (algif_aead)
• Vetor de exploração via interface de socket AF_ALG e chamada de sistema splice()
• Primitiva de escrita de 4 bytes direcionada ao cache de página de binários setuid
• 100% de confiabilidade - sem condições de corrida ou offsets específicos do kernel necessários

Cenários de Impacto Crítico

• Escape de Contêiner: Escalação de privilégios do contêiner para root do host
• Comprometimento Multi-tenant: Escalação de privilégios entre tenants em ambientes compartilhados
• Infraestrutura CI/CD: Execução de código malicioso em pipelines de build
• Sistemas de Desenvolvimento Compartilhados: Escalação de qualquer usuário local para root

Ferramentas de Detecção

1. Script de Detecção Principal (copy_fail_detect.py)

Mecanismo de detecção abrangente baseado em Python para análise ativa e forense.

Recursos:

• Enumeração e análise de sockets AF_ALG
• Verificação de integridade de binários setuid (comparação disco vs memória)
• Avaliação do status do módulo de criptografia do kernel
• Análise de logs do sistema para indicadores de exploração
• Análise de comportamento de processos para abuso da API de criptografia
• Correlação de logs de autenticação

Uso:

sudo sudo										# Modo privilegiado detecta mais artefatos
python3 copy_fail_detect.py                    	# Varredura completa do sistema
python3 copy_fail_detect.py --monitor          	# Modo de monitoramento contínuo

2. Regras de Detecção YARA (copy_fail_detection.yar)

Detecção baseada em assinaturas para análise de sistema de arquivos e memória.

Cobertura das Regras:

• CopyFail_Exploit_Python: Detecção de variantes de exploit em Python
• CopyFail_Exploit_Generic: Padrões genéricos de técnicas de exploração
• CopyFail_InMemory_Artifacts: Detecção de artefatos de memória em tempo de execução
• CopyFail_Modified_SetUID: Detecção de binários setuid modificados
• CopyFail_C_Implementation: Detecção de implementações de exploit em C/C++

Uso:

yara copy_fail_detection.yar /path/to/scan
yara copy_fail_detection.yar /proc/*/mem

3. Scanner de Ambiente Windows (Copy-Fail-Windows-Detect.ps1)

Detecção baseada em PowerShell para sistemas Windows com WSL, Docker ou VMs Linux. ¡NÃO TOTALMENTE TESTADO!

Ambientes Alvo:

• Instâncias do Subsistema Windows para Linux (WSL)
• Contêineres Docker executando no Windows
• Análise de Log de Eventos do Windows
• Correlação de ambientes multiplataforma

Uso:

.\Copy-Fail-Windows-Detect.ps1 -All
.\Copy-Fail-Windows-Detect.ps1 -WSL
.\Copy-Fail-Windows-Detect.ps1 -Docker

Licença e Aviso Legal

Este kit é fornecido exclusivamente para fins defensivos de segurança cibernética. O uso deve estar em conformidade com as leis aplicáveis e políticas organizacionais. Os usuários são responsáveis por obter autorização adequada antes da implantação em qualquer ambiente.

Referências

• Detalhes do CVE: CVE-2026-31431
• Divulgação Original: https://copy.fail/
• Análise Técnica: Theori Security Research