Investigadores de la compa\u00f1\u00eda Xint han identificado una vulnerabilidad en el n\u00facleo de Linux (CVE-2026-31431) que permite a un usuario no privilegiado obtener acceso root al sistema. La vulnerabilidad ha sido apodada Copy Fail. Se dispone de un prototipo del exploit. La posibilidad de explotar esta vulnerabilidad se ha demostrado en Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 y SUSE 16, aunque se ha se\u00f1alado que los paquetes del n\u00facleo de otras distribuciones, incluidos Debian, Arch, Fedora, Rocky y Alma, tambi\u00e9n son vulnerables, aunque no se han probado por separado.<\/p>\n
La vulnerabilidad es causada por un error l\u00f3gico en el API crypto (AF_ALG) del n\u00facleo de Linux, introducido al realizar una optimizaci\u00f3n en 2017, que elimin\u00f3 el exceso de buffering mediante la ejecuci\u00f3n in-place de operaciones de cifrado de bloques AEAD (Cifrado Autenticado con Datos Asociados). El problema surgi\u00f3 debido al uso imprudente de la funci\u00f3n splice(), que transfiere datos entre descriptores de archivos y pipes sin copiar, al pasar referencias a elementos en la cach\u00e9 de p\u00e1ginas. Despu\u00e9s de la optimizaci\u00f3n, al enviar un archivo a un socket AF_ALG para su descifrado, se escrib\u00eda en la estructura scatterlist no una referencia a un buffer separado, sino una referencia directa a los elementos de la cach\u00e9 de p\u00e1ginas del n\u00facleo con los datos del archivo.<\/p>\n
En el proceso de descifrado, los datos vinculados al tag de autenticaci\u00f3n («authentication tag») se mezclaron con los datos autenticables adicionales (AAD, Associated Authenticated Data) copiados en el buffer RX y el texto cifrado. Adem\u00e1s, el desplazamiento para la operaci\u00f3n de escritura en el tag de autenticaci\u00f3n se calcul\u00f3 en relaci\u00f3n a los datos copiados sin las debidas verificaciones, lo que permiti\u00f3 sobrescribir \u00e1reas arbitrarias en la cach\u00e9 de p\u00e1ginas.<\/p>\n
La vulnerabilidad permite sobrescribir 4 bytes en un desplazamiento seleccionado con cada solicitud, lo que permite al atacante, mediante el env\u00edo de una serie de solicitudes, alterar el contenido de cualquier archivo del sistema que sea legible, siempre que consiga que se coloque en la cach\u00e9. Dado que en cualquier operaci\u00f3n de lectura de archivos el contenido se devuelve en primer lugar desde la cach\u00e9 de p\u00e1ginas, despu\u00e9s de reemplazar la informaci\u00f3n en la cach\u00e9, el n\u00facleo o el proceso al leer datos del archivo obtendr\u00e1 datos alterados en lugar de los reales, lo que podr\u00eda utilizarse para inyectar c\u00f3digo en archivos ejecutables en ejecuci\u00f3n o en bibliotecas compartidas que se cargan.<\/p>\n
Para ejecutar c\u00f3digo con privilegios de root, es suficiente cambiar la cach\u00e9 de la p\u00e1gina para cualquier archivo ejecutable con el flag suid root.
\nEn el exploit propuesto se lee el archivo ejecutable \\\/usr\\\/bin\\\/su y se modifica el contenido de este archivo cargado en la cach\u00e9 de p\u00e1ginas para insertar su propio c\u00f3digo. Al ejecutar posteriormente la utilidad «su», se cargar\u00e1 en memoria no el archivo ejecutable original desde el almacenamiento, sino una copia modificada de la cach\u00e9 de p\u00e1ginas.<\/p>\n
El exploit es universal, no requiere adaptaci\u00f3n a distribuciones ni versiones del n\u00facleo, y puede usarse con cualquier distribuci\u00f3n. Dado que al utilizar aislamiento en contenedores todos los contenedores usan una cach\u00e9 de p\u00e1gina compartida, la vulnerabilidad puede aprovecharse para obtener acceso al entorno host desde el contenedor (m\u00e1s adelante se promete publicar un exploit para eludir el aislamiento en Kubernetes).<\/p>\n
La vulnerabilidad fue identificada con la ayuda de IA despu\u00e9s de aproximadamente una hora de experimentaci\u00f3n con el an\u00e1lisis del c\u00f3digo del subsistema criptogr\u00e1fico del n\u00facleo. El problema aparece a partir del n\u00facleo Linux 4.14, lanzado en 2017, y fue corregido en los n\u00facleos 6.18.22, 6.19.12 y 7.0. El estado de correcci\u00f3n de las vulnerabilidades en las distribuciones se puede evaluar en estas p\u00e1ginas: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Como una soluci\u00f3n alternativa a la protecci\u00f3n, se puede desactivar el m\u00f3dulo del n\u00facleo algif_aead, que se utiliza en OpenSSL al habilitar expl\u00edcitamente el motor afalg y en aplicaciones espec\u00edficas (se puede verificar la existencia de tales aplicaciones en ejecuci\u00f3n con el comando «lsof | grep AF_ALG»):<\/p>\n