Forscher des Unternehmens Xint haben eine Schwachstelle im Linux-Kernel (CVE-2026-31431) entdeckt, die es einem nicht privilegierten Benutzer erm\u00f6glicht, Root-Zugriff auf das System zu erhalten. Der Problematik wurde der Codenamen Copy Fail zugeordnet. Ein Prototyp des Exploits ist verf\u00fcgbar. Die M\u00f6glichkeit, die Schwachstelle auszunutzen, wurde in Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 und SUSE 16 demonstriert, jedoch wird angemerkt, dass Kernel-Pakete aus anderen Distributionen, einschlie\u00dflich Debian, Arch, Fedora, Rocky und Alma, ebenfalls betroffen sind, aber nicht separat getestet wurden.<\/p>\n
Die Schwachstelle wird durch einen logischen Fehler in der Crypto-API (AF_ALG) des Linux-Kernels verursacht, der 2017 bei der Implementierung einer Optimierung aufgetreten ist, die eine \u00fcberfl\u00fcssige Pufferspeicherung durch in-place Ausf\u00fchrung von AEAD (Authenticated Encryption with Associated Data) Operationen beseitigt. Das Problem entstand durch eine unbedachte Verwendung der Funktion splice(), die Daten zwischen Dateideskriptoren und Rohren (pipe) ohne Kopieren \u00fcbergibt, indem sie Verweise auf Elemente im Seitenpuffer \u00fcbertr\u00e4gt. Nach der Implementierung der Optimierung wurde bei der \u00dcbergabe einer Datei an den AF_ALG-Socket zur Entschl\u00fcsselung nicht auf einen separaten Puffer verwiesen, sondern direkt auf Elemente des Seitenpuffers des Kernels mit den Datei-Inhalten.<\/p>\n
Bei der Entschl\u00fcsselung wurden im weiteren Verlauf die \u00fcber den Link gebundenen Daten des Authentifizierungstags mit den in den RX-Puffer kopierten zus\u00e4tzlichen authentifizierbaren Daten (AAD, Associated Authenticated Data) und dem Ciphertext vermischt, w\u00e4hrend die Offsetberechnung f\u00fcr den Schreibvorgang im Authentifizierungstag relativ zu den kopierten Daten ohne entsprechende \u00dcberpr\u00fcfungen erfolgte, was das \u00dcberschreiben beliebiger Bereiche im Seitencache erm\u00f6glichte.<\/p>\n
Die Schwachstelle erm\u00f6glicht es, bei jeder Anfrage 4 Bytes an einer gew\u00e4hlten Verschiebung zu \u00fcberschreiben, wodurch ein Angreifer durch das Senden einer Reihe von Anfragen den Inhalt jeder lesbaren Datei im System im Seitenpuffer \u00e4ndern kann, nachdem er erreicht hat, dass sie in den Cache geladen wird. Da bei allen Lesevorg\u00e4ngen aus Dateien der Inhalt in erster Linie aus dem Seitenpuffer geliefert wird, erh\u00e4lt der Kernel oder der Prozess beim Lesen von Daten aus einer Datei nicht die tats\u00e4chlichen, sondern die manipulierten Daten, was zur Injektion von Code in ausf\u00fchrbare Dateien oder in geladene gemeinsame Bibliotheken verwendet werden kann.<\/p>\n
Um Code mit Root-Rechten auszuf\u00fchren, reicht es aus, den Seitencache f\u00fcr jede ausf\u00fchrbare Datei mit dem SUID-Root-Flag zu \u00e4ndern.
\nIm vorgeschlagenen Exploit wird die lesende Ausf\u00fchrung der ausf\u00fchrbaren Datei \/usr\/bin\/su und die Modifikation des in den Seitencache geladenen Inhalts dieser Datei durchgef\u00fchrt, um dort eigenen Code einzuschleusen. Bei der sp\u00e4teren Ausf\u00fchrung des Dienstprogramms 'su' wird dann nicht die originale ausf\u00fchrbare Datei vom Speicher geladen, sondern eine modifizierte Kopie aus dem Seitencache.<\/p>\n
Der Exploit ist universell, ben\u00f6tigt keine Anpassung an Distributionen oder Kernel-Versionen und kann mit allen Distributionen verwendet werden. Da bei der Verwendung von Containerisolierung f\u00fcr alle Container ein gemeinsamer Seitencache verwendet wird, kann die Schwachstelle genutzt werden, um \u00fcber den Container Zugriff auf die Host-Umgebung zu erhalten (sp\u00e4ter wird ein Exploit zum Umgehen der Isolation in Kubernetes ver\u00f6ffentlicht).<\/p>\n
Die Schwachstelle wurde mit Hilfe von KI nach etwa einer Stunde Experimentieren mit der Analyse des Codes des Kryptosubsystems des Kernels identifiziert. Das Problem tritt ab Kernel Linux 4.14 auf, der 2017 ver\u00f6ffentlicht wurde, und wurde in den Kernen 6.18.22, 6.19.12 und 7.0 behoben. Den Status der Behebung von Sicherheitsanf\u00e4lligkeiten in den Distributionen kann man auf diesen Seiten einsehen: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Als Umgehung des Schutzes kann das Kernelmodul algif_aead deaktiviert werden, das in OpenSSL bei expliziter Aktivierung des afalg-Engines und in einigen Anwendungen verwendet wird (die Suche nach solchen laufenden Anwendungen kann mit dem Befehl 'lsof | grep AF_ALG' \u00fcberpr\u00fcft werden):<\/p>\n