Это более минималистичный порт Copy Fail LPE (CVE-2026-31431), который исправляет первые несколько байт /etc/passwd, так что выполнение su к root не требует пароля. Это уменьшает общий размер оригинального эксплойта и делает его более переносимым. Такие дистрибутивы, как Alpine, используют busybox/musl вместо отдельного бинарника su и связки glibc, поэтому оригинальный метод патчинга бинарника обычно не работает. Я специально хотел сделать порт, который работает на Alpine, но этот метод должен работать практически на любом дистрибутиве с уязвимым ядром, независимо от базового формата coreutil и архитектуры процессора, поскольку он полагается на модификацию более вездесущей цели. (примечание: этот poc не является побегом из контейнера)

Используйте реализацию на Go для переносимого автономного бинарника:

go build -o exp main.go
./exp

Или просто запустите python-скрипт от непривилегированного пользователя с помощью python3 exp.py и наслаждайтесь root-оболочкой.

Протестировано на Alpine Linux 3.20.5 с ядром 6.6.69.

Сжатый blob содержит байтовую строку root::0:0:, которая удаляет 'x' из оригинальной записи для root (root:x:0:0:root:/root:/bin/sh), обходя проверку пароля в /etc/shadow при вызове su.

Ссылки:

copyfail-alpine

Популярное