I ricercatori della societ\u00e0 Xint hanno identificato una vulnerabilit\u00e0 nel kernel di Linux (CVE-2026-31431) che consente a un utente non privilegiato di ottenere l'accesso root al sistema. Il problema \u00e8 stato assegnato il nome in codice Copy Fail. \u00c8 disponibile un prototipo dell'exploit. La possibilit\u00e0 di sfruttare la vulnerabilit\u00e0 \u00e8 stata dimostrata su Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 e SUSE 16, ma si segnala che i pacchetti del kernel di altre distribuzioni, inclusi Debian, Arch, Fedora, Rocky e Alma, sono anch'essi vulnerabili, anche se non sono stati testati separatamente.<\/p>\n
La vulnerabilit\u00e0 \u00e8 causata da un errore logico nell'API crypto (AF_ALG) del kernel Linux, introdotto durante un'ottimizzazione nel 2017 che rimuoveva il buffering superfluo tramite l'esecuzione in loco (in-place) delle operazioni di crittografia a blocchi AEAD (Authenticated Encryption with Associated Data). Il problema \u00e8 emerso a causa dell'uso imprudente della funzione splice(), che trasmette dati tra descrittori di file e pipe senza copiarli, passando riferimenti agli elementi nella cache delle pagine. Dopo l'ottimizzazione, durante la trasmissione di un file a un socket AF_ALG per la decrittazione, veniva scritta nella struttura scatterlist non un riferimento a un buffer separato, ma un riferimento diretto agli elementi della cache delle pagine del kernel contenenti i dati del file.<\/p>\n
In seguito, durante il processo di decifratura, i dati dell'etichetta di autenticazione («authentication tag») legati via link sono stati miscelati con i dati aggiuntivi autenticabili copiati nel buffer RX (AAD, Associated Authenticated Data) e il testo cifrato, mentre lo spostamento per l'operazione di scrittura nell'etichetta di autenticazione veniva calcolato rispetto ai dati copiati senza adeguati controlli, permettendo di sovrascrivere aree arbitrarie nella cache delle pagine.<\/p>\n
La vulnerabilit\u00e0 consente di riscrivere 4 byte in un offset selezionato ad ogni richiesta, permettendo all'attaccante di modificare il contenuto di qualsiasi file leggibile nel sistema, precedentemente memorizzato nella cache delle pagine, inviando una serie di richieste. Poich\u00e9 nelle operazioni di lettura dai file il contenuto viene restituito in primo luogo dalla cache delle pagine, dopo la sostituzione delle informazioni nella cache, il kernel o il processo, durante la lettura dei dati dal file, ricever\u00e0 dati alterati invece di quelli reali. Ci\u00f2 pu\u00f2 essere utilizzato per iniettare codice in file eseguibili o librerie condivise caricate.<\/p>\n
Per eseguire codice con privilegi di root, \u00e8 sufficiente modificare la cache delle pagine per qualsiasi file eseguibile con il flag suid root.
\nNell'exploit proposto viene eseguita la lettura del file eseguibile \/usr\/bin\/su e la modifica del contenuto di questo file caricato nella cache delle pagine per inserire il proprio codice. Al successivo avvio della utility «su», verr\u00e0 caricata in memoria non la versione originale del file eseguibile dal disco, ma una copia modificata dalla cache delle pagine.<\/p>\n
L'exploit \u00e8 universale, non richiede adattamenti alle distribuzioni o alle versioni del kernel e pu\u00f2 essere utilizzato con qualsiasi distribuzione. Poich\u00e9 viene utilizzata una cache di pagina condivisa per tutti i contenitori, la vulnerabilit\u00e0 pu\u00f2 essere sfruttata per ottenere accesso all'ambiente host dal contenitore (in seguito verr\u00e0 pubblicato un exploit per eludere l'isolamento in Kubernetes).<\/p>\n
La vulnerabilit\u00e0 \u00e8 stata identificata tramite AI dopo circa un'ora di esperimenti con l'analisi del codice della sottosistema crittografico del kernel. Il problema si manifesta a partire dal kernel Linux 4.14, rilasciato nel 2017, ed \u00e8 stato risolto nei kernel 6.18.22, 6.19.12 e 7.0. Lo stato della risoluzione delle vulnerabilit\u00e0 nelle distribuzioni pu\u00f2 essere valutato su queste pagine: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Come soluzione alternativa alla protezione, \u00e8 possibile disattivare il modulo del kernel algif_aead, utilizzato in OpenSSL quando il motore afalg \u00e8 esplicitamente abilitato e in alcune applicazioni (\u00e8 possibile verificare la presenza di tali applicazioni in esecuzione con il comando «lsof | grep AF_ALG»):<\/p>\n