CVE-2026-31431 («Copy Fail») — продвинутый PoC для локального повышения привилегий — переписанный на C

Продвинутый, побайтово точный Proof-of-Concept (PoC) локального повышения привилегий (LPE) для CVE-2026-31431, эксплуатирующий логическую ошибку в подсистеме криптографии ядра Linux (algif_aead).

Этот репозиторий содержит высокооптимизированную реализацию на C, которая надёжно перезаписывает доступную только для чтения память Page Cache путём манипулирования сокетным интерфейсом AF_ALG и системным вызовом splice().

Обзор уязвимости

Уязвимость, получившая название «Copy Fail», позволяет непривилегированному локальному атакующему принудить ядро записывать результаты криптографических операций непосредственно в отображаемые в память страницы любого файла в системе. Нацелившись на /usr/bin/su, этот PoC достигает инъекции в память с нулевым копированием, предоставляя мгновенную root-оболочку без изменения физического бинарного файла на диске.

Междистрибутивное исследование и матрица совместимости

Было проведено обширное тестирование на различных современных дистрибутивах Linux для определения окна эксплуатации и наблюдения за поведением патчей.

Анализ патча («Тихий сбой»)

На пропатченных ядрах (например, 6.19.14+ и 7.0.0+) эксплойт выполняется без сбоев или выброса EINVAL (тихий сбой). Ядро успешно разбирает сырые заголовки Netlink rtattr, но корректно применяет разрешения страниц VM_MAYWRITE на этапе обратной записи через splice(). Оно незаметно выделяет безопасный буфер вместо перезаписи доступного только для чтения Page Cache файла /usr/bin/su.

Использование

Компиляция

gcc copy_fail_exp.c -o copy_fail_exp
chmod +x copy_fail_exp

Запуск

./copy_fail_exp

Ожидаемый вывод (уязвимая система):

[*] CVE-2026-31431 Research - Ultimate C Implementation
[+] Page Cache completely overwritten.
[+] Detonating modified binary...
# whoami
root

Ссылки

• https://copy.fail/
• CVE-2026-31431

Отказ от ответственности

Этот код выпущен строго в образовательных целях, для оборонительных исследований и моделирования угроз. Не запускайте его на производственных системах или в любой среде, где у вас нет явного разрешения.