I ricercatori della compagnia Xint hanno identificato una vulnerabilit\u00e0 nel kernel Linux (CVE-2026-31431), che consente a un utente non privilegiato di ottenere l'accesso root al sistema. Il problema \u00e8 stato battezzato con il nome in codice Copy Fail. \u00c8 disponibile un prototipo dell'exploit. \u00c8 stata dimostrata la possibilit\u00e0 di sfruttare la vulnerabilit\u00e0 su Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 e SUSE 16, ma si segnala che i pacchetti kernel di altre distribuzioni, comprese Debian, Arch, Fedora, Rocky e Alma, sono anch'essi vulnerabili, bench\u00e9 non siano stati testati separatamente.<\/p>\n
La vulnerabilit\u00e0 \u00e8 causata da un errore logico nell'API crypto (AF_ALG) del kernel Linux, introdotto nel 2017 durante un'ottimizzazione che rimuoveva la bufferizzazione superflua attraverso l'esecuzione in loco (in-place) delle operazioni di crittografia a blocchi AEAD (Authenticated Encryption with Associated Data). Il problema \u00e8 sorto a causa di un utilizzo avventato della funzione splice(), che trasferisce dati tra descrittori di file e pipe senza copia, passando riferimenti agli elementi nella cache di pagina. Dopo l'introduzione dell'ottimizzazione, quando un file veniva trasmesso a un socket AF_ALG per la decrittografia, veniva scritto nella struttura scatterlist non un riferimento a un buffer separato, ma un riferimento diretto agli elementi della cache di pagina del kernel contenenti i dati del file.<\/p>\n
In seguito, durante il processo di decodifica, i dati del tag di autenticazione («authentication tag») legati tramite riferimento si sono mescolati con i dati autenticabili aggiuntivi copiati nel buffer RX (AAD, Associated Authenticated Data) e il testo cifrato, mentre l'offset per l'operazione di scrittura nel tag di autenticazione veniva calcolato rispetto ai dati copiati senza opportuni controlli, consentendo di sovrascrivere aree arbitrarie nella cache delle pagine.<\/p>\n
La vulnerabilit\u00e0 consente di sovrascrivere 4 byte a un offset scelto con ogni richiesta, permettendo a un attaccante, tramite l'invio di una serie di richieste, di modificare nel cache di pagina il contenuto di qualsiasi file del sistema accessibile in lettura, previo suo posizionamento nella cache. Poich\u00e9 durante qualsiasi operazione di lettura dai file il contenuto \u00e8 fornito per prima cosa dalla cache di pagina, dopo la sostituzione delle informazioni nella cache, il kernel o il processo, leggendo i dati da un file, riceveranno non i dati effettivi, ma quelli sostituiti, il che pu\u00f2 essere utilizzato per l'inserimento di codice in file eseguibili avviati o in librerie condivise caricate.<\/p>\n
Per eseguire il codice con diritti di root, basta modificare la cache delle pagine per qualsiasi file eseguibile con il flag suid root.
\nNell'exploit proposto, viene eseguita la lettura del file eseguibile \/usr\/bin\/su e la modifica del contenuto di quel file caricato nella cache delle pagine per inserire il proprio codice. Al successivo avvio dello strumento «su», verr\u00e0 caricato in memoria non il file eseguibile originale dall'unit\u00e0, ma una copia modificata dalla cache delle pagine.<\/p>\n
L'exploit \u00e8 universale, non richiede adattamenti per distribuzioni o versioni del kernel e pu\u00f2 essere utilizzato con qualsiasi distribuzione. Poich\u00e9 l'isolamento dei contenitori utilizza una cache delle pagine condivisa per tutti i contenitori, la vulnerabilit\u00e0 pu\u00f2 essere sfruttata per ottenere accesso all'ambiente host da un contenitore (in seguito promettono di pubblicare un exploit per aggirare l'isolamento in Kubernetes).<\/p>\n
La vulnerabilit\u00e0 \u00e8 stata identificata tramite AI dopo circa un'ora di esperimenti con l'analisi del codice del sottosistema crittografico del kernel. Il problema si manifesta a partire dal kernel Linux 4.14, rilasciato nel 2017, ed \u00e8 stato risolto nei kernel 6.18.22, 6.19.12 e 7.0. Lo stato di correzione delle vulnerabilit\u00e0 nelle distribuzioni pu\u00f2 essere valutato alle seguenti pagine: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Come soluzione alternativa alla protezione, \u00e8 possibile disattivare il modulo del kernel algif_aead, che viene utilizzato in OpenSSL quando si attiva esplicitamente il motore afalg e in determinate applicazioni (\u00e8 possibile verificare la presenza di tali applicazioni in esecuzione con il comando «lsof | grep AF_ALG»):<\/p>\n