Les chercheurs de Xint ont d\u00e9couvert une vuln\u00e9rabilit\u00e9 dans le noyau Linux (CVE-2026-31431) permettant \u00e0 un utilisateur non privil\u00e9gi\u00e9 d'obtenir un acc\u00e8s root au syst\u00e8me. Le probl\u00e8me a re\u00e7u le nom de code Copy Fail. Un prototype d'exploit est disponible. La possibilit\u00e9 d'exploitation de la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9montr\u00e9e sur Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 et SUSE 16, mais il est \u00e0 noter que les paquets du noyau d'autres distributions, y compris Debian, Arch, Fedora, Rocky et Alma, sont \u00e9galement affect\u00e9s, bien qu'ils n'aient pas \u00e9t\u00e9 test\u00e9s s\u00e9par\u00e9ment.<\/p>\n
La vuln\u00e9rabilit\u00e9 est due \u00e0 une erreur logique dans l'API crypto (AF_ALG) du noyau Linux, introduite lors d'une optimisation en 2017 visant \u00e0 \u00e9liminer le buffering excessif gr\u00e2ce \u00e0 des op\u00e9rations de chiffrement par blocs AEAD (Authenticated Encryption with Associated Data) en place. Le probl\u00e8me est survenu \u00e0 cause d'une utilisation imprudente de la fonction splice(), qui transf\u00e8re des donn\u00e9es entre des descripteurs de fichiers et des tubes sans copie, en passant des r\u00e9f\u00e9rences aux \u00e9l\u00e9ments dans le cache de pages. Apr\u00e8s l'optimisation, lors du transfert d'un fichier vers un socket AF_ALG pour le d\u00e9chiffrement, une r\u00e9f\u00e9rence directe aux \u00e9l\u00e9ments du cache de pages du noyau contenant les donn\u00e9es du fichier \u00e9tait \u00e9crite dans la structure scatterlist, au lieu de r\u00e9f\u00e9rencer un tampon s\u00e9par\u00e9.<\/p>\n
Par la suite, lors du processus de d\u00e9chiffrement, les donn\u00e9es li\u00e9es \u00e0 la balise d'authentification («balise d'authentification») \u00e9taient m\u00e9lang\u00e9es avec les donn\u00e9es authentifiables suppl\u00e9mentaires copi\u00e9es dans le tampon RX (AAD, Donn\u00e9es Authentifi\u00e9es Associ\u00e9es) et le texte chiffr\u00e9, et le d\u00e9calage pour l'op\u00e9ration d'\u00e9criture dans la balise d'authentification \u00e9tait calcul\u00e9 par rapport aux donn\u00e9es copi\u00e9es sans v\u00e9rifications appropri\u00e9es, ce qui permettait d'\u00e9craser des zones arbitraires dans le cache page.<\/p>\n
La vuln\u00e9rabilit\u00e9 permet de r\u00e9\u00e9crire 4 octets \u00e0 un d\u00e9calage choisi \u00e0 chaque requ\u00eate, ce qui permet \u00e0 un attaquant, en envoyant une s\u00e9rie de requ\u00eates, de modifier dans le cache de pages le contenu de tout fichier dans le syst\u00e8me accessible en lecture, apr\u00e8s avoir r\u00e9ussi \u00e0 le placer dans le cache. \u00c9tant donn\u00e9 que lors de toute op\u00e9ration de lecture \u00e0 partir de fichiers, le contenu est d'abord fourni \u00e0 partir du cache de pages, apr\u00e8s avoir remplac\u00e9 les informations dans le cache de pages, le noyau ou le processus, lors de la lecture des donn\u00e9es \u00e0 partir du fichier, recevra non pas des donn\u00e9es r\u00e9elles, mais des donn\u00e9es falsifi\u00e9es, ce qui peut \u00eatre utilis\u00e9 pour injecter du code dans les fichiers ex\u00e9cutables ou les biblioth\u00e8ques partag\u00e9es charg\u00e9es.<\/p>\n
Pour ex\u00e9cuter du code avec des droits root, il suffit de modifier le cache de page pour tout fichier ex\u00e9cutable avec le drapeau suid root.
\nL'exploit propos\u00e9 effectue une lecture du fichier ex\u00e9cutable \/usr\/bin\/su et modifie le contenu de ce fichier charg\u00e9 dans le cache page pour y ins\u00e9rer son propre code. Lors de la prochaine ex\u00e9cution de l'utilitaire «su», ce ne sera pas le fichier ex\u00e9cutable original qui sera charg\u00e9 en m\u00e9moire depuis le stockage, mais une copie modifi\u00e9e depuis le cache page.<\/p>\n
L'exploit est universel, ne n\u00e9cessite pas d'adaptation aux distributions ou aux versions du noyau, et peut \u00eatre utilis\u00e9 avec n'importe quelle distribution. \u00c9tant donn\u00e9 que l'isolement des conteneurs utilise un cache de page commun pour tous les conteneurs, la vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e pour obtenir un acc\u00e8s \u00e0 l'environnement h\u00f4te depuis un conteneur (un exploit pour contourner l'isolement dans Kubernetes sera publi\u00e9 ult\u00e9rieurement).<\/p>\n
La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e gr\u00e2ce \u00e0 l'IA apr\u00e8s environ une heure d'exp\u00e9rimentations en analysant le code de la sous-syst\u00e8me cryptographique du noyau. Le probl\u00e8me appara\u00eet \u00e0 partir du noyau Linux 4.14, publi\u00e9 en 2017, et a \u00e9t\u00e9 corrig\u00e9 dans les noyaux 6.18.22, 6.19.12 et 7.0. L'\u00e9tat de correction des vuln\u00e9rabilit\u00e9s dans les distributions peut \u00eatre \u00e9valu\u00e9 sur ces pages : Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Comme moyen de contournement de la protection, il est possible de d\u00e9sactiver le module noyau algif_aead, qui est utilis\u00e9 dans OpenSSL lors de l'activation explicite du moteur afalg et dans certaines applications (pour v\u00e9rifier la pr\u00e9sence de telles applications en cours d'ex\u00e9cution, vous pouvez utiliser la commande «lsof | grep AF_ALG»):<\/p>\n