Forskere fra virksomheden Xint har opdaget en s\u00e5rbarhed i Linux-kernen (CVE-2026-31431), der g\u00f8r det muligt for en privilegeret bruger at opn\u00e5 root-adgang til systemet. Problemet har f\u00e5et kodenavnet Copy Fail. En prototyper til et exploit er tilg\u00e6ngelig. Muligheden for at udnytte s\u00e5rbarheden er blevet demonstreret i Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 og SUSE 16, men det bem\u00e6rkes, at pakker med kerner fra andre distributioner, herunder Debian, Arch, Fedora, Rocky og Alma, ogs\u00e5 er p\u00e5virket, men disse er ikke testet separat.<\/p>\n
S\u00e5rbarheden skyldes en logisk fejl i crypto API (AF_ALG) i Linux-kernen, der opstod, da der i 2017 blev foretaget en optimering, som fjernede un\u00f8dvendig bufferh\u00e5ndtering ved at udf\u00f8re in-place operationer med blokkryptering AEAD (Authenticated Encryption with Associated Data). Problemet opstod som f\u00f8lge af en uovervejet brug af funktionen splice(), der overf\u00f8rer data mellem filbeskrivelser og pipes uden at kopiere, ved at sende referencer til elementer i sidetcachet. Efter optimeringen blev der sendt en direkte reference til elementer i sidetcachet med filens data til socketen AF_ALG til dekryptering i en scatterlist i stedet for en reference til en separat buffer.<\/p>\n
I den videre afkodningsproces blev de linkede data til autentificering ('authentication tag') blandet med de ekstra autentificerbare data (AAD, Associated Authenticated Data), der kopieres til RX-bufferen, samt chifferteksten. Offset til operationen med at skrive til autentificeringstagget blev beregnet i forhold til de kopierede data uden ordentlige kontroller, hvilket gjorde det muligt at overskrive vilk\u00e5rlige omr\u00e5der i sidecache.<\/p>\n
S\u00e5rbarheden g\u00f8r det muligt at overskrive 4 bytes ved en valgt offset ved hver anmodning, hvilket giver en angriber mulighed for gennem at sende en serie af anmodninger at \u00e6ndre indholdet af enhver fil i sidetcachet, som er tilg\u00e6ngelig for l\u00e6sning, efter f\u00f8rst at have f\u00e5et den placeret i cache. Da indholdet fra filerne ved l\u00e6seoperationer f\u00f8rst leveres fra sidetcachet, vil kernen eller processen, n\u00e5r de l\u00e6ser data fra filen, modtage ikke de faktiske, men de \u00e6ndrede data, hvilket kan bruges til at injicere kode i udf\u00f8relsesfiler eller indl\u00e6ste delte biblioteker.<\/p>\n
For executing code with root privileges, it is sufficient to achieve modification of the page cache for any executable file with the suid root flag.
\nI det foresl\u00e5ede exploit udf\u00f8res der l\u00e6sning af den eksekverbare fil \/usr\/bin\/su, og indholdet af denne fil, der er indl\u00e6st i sidecachen, \u00e6ndres for at inds\u00e6tte sin egen kode. Ved efterf\u00f8lgende k\u00f8rsel af v\u00e6rkt\u00f8jet 'su' vil der blive indl\u00e6st en \u00e6ndret kopi fra sidecachen i stedet for den originale eksekverbare fil fra lagringen.<\/p>\n
The exploit is universal, does not require adaptation to distributions or kernel versions, and can be used with any distributions. Since a shared page cache is used for all containers with container isolation, the vulnerability can be exploited to gain access to the host environment from within the container (an exploit for bypassing isolation in Kubernetes is promised to be published later).<\/p>\n
The vulnerability was identified using AI after about an hour of experiments analyzing the kernel cryptosystem code. The issue appears starting from Linux kernel 4.14, released in 2017, and is fixed in kernels 6.18.22, 6.19.12, and 7.0. The status of vulnerability remediation in distributions can be assessed on the following pages: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Som en metode til at omg\u00e5 beskyttelsen kan modulalgif_aead i kernen deaktiveres, hvilket anvendes i OpenSSL ved eksplicit aktivering af afalg-motoren og i enkelte applikationer (kontroller om s\u00e5danne k\u00f8rende applikationer findes med kommandoen 'lsof | grep AF_ALG'):<\/p>\n