Exploit for wg.copyfail.patch

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-WGNET-WG.COPYFAIL.PATCH
# CVE-2026-31431, 일명 Copy.Fail eBPF 우회 조치

## 왜 중요한가

이 CVE는 인가된 사용자가 읽을 수 있는 파일의 캐시 복사본을 변경할 수 있게 하여, 로컬 권한 상승(일명 로컬 루트 익스플로잇), 샌드박스/컨테이너 탈출 및 기타 문제를 초래합니다. 이는 algif* 커널 모듈이 제공하는 **AF_ALG** 소켓을 생성하여 작동합니다.

현재 알려진 일반적인 우회 조치는 **algif_aead** 모듈을 비활성화하는 것을 권장하지만, Fedora Linux, Oracle Linux 및 기타 RHEL 계열 배포판처럼 모듈이 커널에 내장된 경우에는 불가능합니다. 또한 일부 업스트림은 여전히 패치가 적용되지 않은 상태입니다. 즉, 커널을 패치할 때까지 시스템은 취약한 상태로 남아 있습니다.

## 해결 방법

이 패키지는 두 가지 eBPF 프로그램을 제공합니다:

  * **ebpf-alg-socket-filter** : eBPF/LSM 커널 메커니즘으로 AF_ALG 소켓 생성을 필터링합니다.
  * **ebpf-alg-socket-killer** : AF_ALG 소켓을 생성하는 모든 프로그램을 종료합니다.



커널에 eBPF LSM 모듈이 활성화되어 있다면 첫 번째 프로그램을 사용하는 것을 권장합니다. 다음 명령으로 확인할 수 있습니다.

root@kitploit:~
    
    
    cat /sys/kernel/security/lsm
    

`bpf`가 목록에 있는지 확인하세요.

eBPF LSM 모듈이 없다면 두 번째 프로그램을 사용하세요. 더 _거친_ 방식이지만 동일하게 보호합니다.

## 빌드

  * clang, kernel-headers, libbpf-devel 및 bpftool을 설치하세요.
  * 커널 헤더에서 vmlinux.h를 복사하세요.
  * `build.sh build`를 실행하세요.



## 실행

  * 로드하려면 `apply.sh load`를 실행하세요.
  * 언로드하려면 `apply.sh unload`를 실행하세요.
  * 상태를 확인하려면 `apply.sh status`를 실행하세요.