Forscher von Xint haben eine Schwachstelle im Linux-Kernel (CVE-2026-31431) entdeckt, die es unprivilegierten Benutzern erm\u00f6glicht, Root-Zugriff auf das System zu erlangen. Das Problem tr\u00e4gt den Codenamen Copy Fail. Ein Prototyp eines Exploits ist verf\u00fcgbar. Die M\u00f6glichkeit, die Schwachstelle auszunutzen, wurde in Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 und SUSE 16 demonstriert, es wird jedoch festgestellt, dass auch Pakete mit Kern aus anderen Distributionen, einschlie\u00dflich Debian, Arch, Fedora, Rocky und Alma, betroffen sind, obwohl diese nicht separat getestet wurden.<\/p>\n
Die Schwachstelle wird durch einen logischen Fehler in der crypto API (AF_ALG) des Linux-Kernels verursacht, der bei der Optimierung im Jahr 2017 aufgetreten ist, die \u00fcberfl\u00fcssige Pufferung durch in-place Operationen von AEAD (Authenticated Encryption with Associated Data) entfernt. Das Problem entstand durch die un\u00fcberlegte Verwendung der Funktion splice(), die Daten zwischen Dateideskriptoren und Pipelines \u00fcbermittelt, ohne diese zu kopieren, indem Verweise auf Elemente im Seiten-Cache \u00fcbergeben werden. Nach der Optimierung wurde beim Senden einer Datei an einen AF_ALG-Socket zur Dechiffrierung nicht ein Verweis auf einen separaten Puffer, sondern ein direkter Verweis auf die Elemente des Seiten-Cache des Kernels mit den Datei-Daten in die scatterlist-Struktur geschrieben.<\/p>\n
Im weiteren Verlauf des Dekodierungsprozesses wurden die \u00fcber den Authentifizierungstag (\u00bbauthentication tag\u00ab) verlinkten Daten mit den in den RX-Puffer kopierten zus\u00e4tzlichen authentifizierbaren Daten (AAD, Associated Authenticated Data) und dem Chiffretext vermischt, w\u00e4hrend der Offset f\u00fcr die Schreiboperation im Authentifizierungstag relativ zu den kopierten Daten ohne angemessene \u00dcberpr\u00fcfungen berechnet wurde, was das \u00dcberschreiben beliebiger Bereiche im Seiten-Cache erm\u00f6glichte.<\/p>\n
Die Schwachstelle erm\u00f6glicht es, bei jeder Anfrage 4 Bytes an einer ausgew\u00e4hlten Offset-Position zu \u00fcberschreiben. Dadurch kann ein Angreifer durch das Senden einer Reihe von Anfragen den Inhalt beliebiger, lesbarer Dateien im System, die zuvor in den Cache geladen wurden, im Seitencache \u00e4ndern. Da bei allen Lesevorg\u00e4ngen aus Dateien der Inhalt vorrangig aus dem Seitencache bereitgestellt wird, erh\u00e4lt das Kernel oder der Prozess beim Lesen von Daten aus einer Datei nicht die tats\u00e4chlichen, sondern die manipulierten Daten, was verwendet werden kann, um Code in ausf\u00fchrbare Dateien oder in Shared Libraries einzuschleusen.<\/p>\n
Um Code mit root-Rechten auszuf\u00fchren, gen\u00fcgt es, den Seiten-Cache f\u00fcr jede ausf\u00fchrbare Datei mit dem SUID-Flag f\u00fcr root zu \u00e4ndern.
\nIm vorgeschlagenen Exploit wird die ausf\u00fchrbare Datei \/usr\/bin\/su gelesen und der Inhalt dieser Datei, der im Seiten-Cache gespeichert ist, so modifiziert, dass eigener Code eingegeben werden kann. Bei der n\u00e4chsten Ausf\u00fchrung des Tools \u00bbsu\u00ab wird nicht die originale ausf\u00fchrbare Datei vom Speicher, sondern eine ver\u00e4nderte Kopie aus dem Seiten-Cache in den Speicher geladen.<\/p>\n
Der Exploit ist universell einsetzbar, ben\u00f6tigt keine Anpassungen an Distributionen oder Kernversionen und kann mit allen Distributionen verwendet werden. Da bei der Verwendung von containerbasierter Isolation f\u00fcr alle Container ein gemeinsamer Seiten-Cache verwendet wird, kann die Schwachstelle genutzt werden, um vom Container aus Zugriff auf die Host-Umgebung zu erhalten (sp\u00e4ter wird ein Exploit zur Umgehung der Isolation in Kubernetes ver\u00f6ffentlicht).<\/p>\n
Eine Schwachstelle wurde mit Hilfe von KI nach etwa einer Stunde Experimentieren mit der Analyse des Codes der Kryptosubsysteme des Kernels identifiziert. Das Problem tritt beginnend mit Kernel 4.14 auf, das 2017 ver\u00f6ffentlicht wurde, und wurde in den Kernen 6.18.22, 6.19.12 und 7.0 behoben. Der Status der Behebung von Schwachstellen in den Distributionen kann auf diesen Seiten bewertet werden: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Als Umgehungsma\u00dfnahme f\u00fcr den Schutz kann das Kernel-Modul algif_aead deaktiviert werden, das in OpenSSL bei ausdr\u00fccklicher Aktivierung des afalg-Engines und in bestimmten Anwendungen verwendet wird (das Vorhandensein solcher gestarteten Anwendungen kann mit dem Befehl \u00bblsof | grep AF_ALG\u00ab \u00fcberpr\u00fcft werden):<\/p>\n