V\u00fdzkumn\u00edci ze spole\u010dnosti Xint odhalili zranitelnost (CVE-2026-31431) v j\u00e1d\u0159e Linux, kter\u00e1 umo\u017e\u0148uje nepot\u0159ebn\u00e9mu u\u017eivateli z\u00edskat root p\u0159\u00edstup k syst\u00e9mu. Probl\u00e9m byl pojmenov\u00e1n jako Copy Fail. K dispozici je prototyp exploit\u016f. Mo\u017enost exploatace zranitelnosti byla demonstrov\u00e1na na Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 a SUSE 16, ale bylo poznamen\u00e1no, \u017ee tak\u00e9 bal\u00ed\u010dky jader z jin\u00fdch distribuc\u00ed, v\u010detn\u011b Debianu, Archu, Fedory, Rocky a Alma, jsou probl\u00e9mem posti\u017eeny, av\u0161ak nebyly samostatn\u011b testov\u00e1ny.<\/p>\n
Zranitelnost je zp\u016fsobena logickou chybou v crypto API (AF_ALG) j\u00e1dra Linux, kter\u00e1 vznikla p\u0159i optimalizaci v roce 2017, je\u017e odstra\u0148uje nadbyte\u010dnou buffering skrze prov\u00e1d\u011bn\u00ed operac\u00ed blokov\u00e9ho \u0161ifrov\u00e1n\u00ed AEAD (Authenticated Encryption with Associated Data) na m\u00edst\u011b (in-place). Probl\u00e9m nastal kv\u016fli nezv\u00e1\u017een\u00e9mu vyu\u017eit\u00ed funkce splice(), kter\u00e1 p\u0159ed\u00e1v\u00e1 data mezi souborov\u00fdmi popisova\u010di a kan\u00e1ly (pipe) bez kop\u00edrov\u00e1n\u00ed, prost\u0159ednictv\u00edm p\u0159ed\u00e1v\u00e1n\u00ed odkaz\u016f na prvky ve str\u00e1nkov\u00e9m cache. Po proveden\u00ed optimalizace p\u0159i p\u0159ed\u00e1v\u00e1n\u00ed souboru do socketu AF_ALG pro de\u0161ifrov\u00e1n\u00ed se do struktury scatterlist zapisoval nikoli odkaz na samostatn\u00fd buffer, ale p\u0159\u00edm\u00fd odkaz na prvky str\u00e1nkov\u00e9ho cache j\u00e1dra obsahuj\u00edc\u00ed data souboru.<\/p>\n
V pr\u016fb\u011bhu de\u0161ifrov\u00e1n\u00ed se m\u00edsily s odkazy spojen\u00e1 data autentiza\u010dn\u00edho tagu (\"authentication tag\") se zkop\u00edrovan\u00fdmi do RX-bufferu dal\u0161\u00edmi autentizovateln\u00fdmi daty (AAD, Associated Authenticated Data) a \u0161ifrovan\u00fdm textem, zat\u00edmco posunut\u00ed pro z\u00e1pis do autentiza\u010dn\u00edho tagu bylo po\u010d\u00edt\u00e1no v\u016f\u010di zkop\u00edrovan\u00fdm dat\u016fm bez \u0159\u00e1dn\u00fdch kontrol, co\u017e umo\u017enilo p\u0159epsat libovoln\u00e9 oblasti ve str\u00e1nkov\u00e9m cache.<\/p>\n
Zranitelnost umo\u017e\u0148uje p\u0159i ka\u017ed\u00e9m po\u017eadavku p\u0159epsat 4 bajty na vybran\u00e9m offsetu, co\u017e \u00fato\u010dn\u00edkovi umo\u017e\u0148uje prost\u0159ednictv\u00edm odesl\u00e1n\u00ed s\u00e9rie po\u017eadavk\u016f zm\u011bnit obsah jak\u00e9hokoli souboru v syst\u00e9mov\u00e9m str\u00e1nkov\u00e9m cache, kter\u00fd je dostupn\u00fd pro \u010dten\u00ed, zaji\u0161t\u011bn\u00edm jeho um\u00edst\u011bn\u00ed do cache. Jeliko\u017e p\u0159i jak\u00fdchkoli operac\u00edch \u010dten\u00ed ze soubor\u016f je obsah nejprve dod\u00e1v\u00e1n ze str\u00e1nkov\u00e9ho cache, po v\u00fdm\u011bn\u011b informac\u00ed v str\u00e1nkov\u00e9m cache j\u00e1dro nebo proces p\u0159i \u010dten\u00ed dat ze souboru obdr\u017e\u00ed nikoli skute\u010dn\u00e9, ale podvr\u017een\u00e9 \u00fadaje, co\u017e m\u016f\u017ee b\u00fdt pou\u017eito k vkl\u00e1d\u00e1n\u00ed k\u00f3du do spou\u0161t\u011bc\u00edch spustiteln\u00fdch soubor\u016f nebo na\u010d\u00edtan\u00fdch sd\u00edlen\u00fdch knihoven.<\/p>\n
Pro vykon\u00e1n\u00ed k\u00f3du s pr\u00e1vy root sta\u010d\u00ed upravit str\u00e1nkovou mezipam\u011b\u0165 pro jak\u00fdkoli spustiteln\u00fd soubor s flagem suid root.
\nVe navrhovan\u00e9m exploit\u011b se prov\u00e1d\u00ed \u010dten\u00ed spustiteln\u00e9ho souboru \/usr\/bin\/su a modifikace obsahu tohoto souboru ulo\u017een\u00e9ho ve str\u00e1nkov\u00e9m cache pro vlo\u017een\u00ed vlastn\u00edho k\u00f3du. P\u0159i n\u00e1sledn\u00e9m spu\u0161t\u011bn\u00ed n\u00e1stroje \"su\" se do pam\u011bti nezat\u00ed\u017e\u00ed origin\u00e1ln\u00ed spustiteln\u00fd soubor ze za\u0159\u00edzen\u00ed, ale upraven\u00e1 kopie ze str\u00e1nkov\u00e9ho cache.<\/p>\n
Exploit je univerz\u00e1ln\u00ed, nevy\u017eaduje p\u0159izp\u016fsoben\u00ed pro distribuce nebo verze j\u00e1dra a m\u016f\u017ee b\u00fdt pou\u017eit s jak\u00fdmikoli distribucemi. Vzhledem k tomu, \u017ee p\u0159i pou\u017eit\u00ed kontejnerov\u00e9 izolace pro v\u0161echny kontejnery se pou\u017e\u00edv\u00e1 spole\u010dn\u00e1 str\u00e1nkov\u00e1 mezipam\u011b\u0165, m\u016f\u017ee b\u00fdt zranitelnost vyu\u017eita k z\u00edsk\u00e1n\u00ed p\u0159\u00edstupu k hostitelsk\u00e9mu prost\u0159ed\u00ed z kontejneru (pozd\u011bji slibuj\u00ed zve\u0159ejnit exploit pro obch\u00e1zen\u00ed izolace v Kubernetes).<\/p>\n
Zranitelnost byla identifikov\u00e1na pomoc\u00ed AI p\u0159ibli\u017en\u011b po hodin\u011b experimentov\u00e1n\u00ed s anal\u00fdzou k\u00f3du kryptosyst\u00e9mu j\u00e1dra. Probl\u00e9m se projevuje od j\u00e1dra Linux 4.14, vydan\u00e9ho v roce 2017, a byl opraven v j\u00e1drech 6.18.22, 6.19.12 a 7.0. Stav odstran\u011bn\u00ed zranitelnost\u00ed v distribuc\u00edch lze posoudit na t\u011bchto str\u00e1nk\u00e1ch: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Jako obchvat ochrany lze vypnout modul j\u00e1dra algif_aead, kter\u00fd se pou\u017e\u00edv\u00e1 v OpenSSL p\u0159i explicitn\u00edm zapnut\u00ed enginu afalg a v jednotliv\u00fdch aplikac\u00edch (mo\u017enost zkontrolovat, zda b\u011b\u017e\u00ed takov\u00e9 aplikace, je pomoc\u00ed p\u0159\u00edkazu \"lsof | grep AF_ALG\"):<\/p>\n