Onderzoekers van het bedrijf Xint hebben een kwetsbaarheid in de Linux-kernel ontdekt (CVE-2026-31431) die het voor een niet-privilegieerde gebruiker mogelijk maakt om root-toegang tot het systeem te verkrijgen. De kwetsbaarheid heeft de codenaam Copy Fail gekregen. Er is een exploit-prototype beschikbaar. De mogelijkheid om de kwetsbaarheid te exploiteren is gedemonstreerd in Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 en SUSE 16, maar het wordt opgemerkt dat pakketten met kernels van andere distributies, waaronder Debian, Arch, Fedora, Rocky en Alma, ook kwetsbaar zijn, hoewel ze niet afzonderlijk zijn getest.<\/p>\n
De kwetsbaarheid wordt veroorzaakt door een logische fout in de crypto API (AF_ALG) van de Linux-kernel, die is ontstaan bij een optimalisatie in 2017, waarbij onnodige buffering werd verwijderd door in-place operaties van block cipher AEAD (Authenticated Encryption with Associated Data) uit te voeren. Het probleem ontstond door het ondoordachte gebruik van de functie splice(), die gegevens tussen bestandsdescriptoren en pipes doorgeeft zonder kopi\u00ebren, door links naar elementen in de pagina-cache door te geven. Na de optimalisatie werd er bij het verzenden van een bestand naar een AF_ALG-socket voor decryptie in de scatterlist-structuur niet een link naar een afzonderlijke buffer geschreven, maar een directe link naar elementen in de pagina-cache van de kernel met de gegevens van het bestand.<\/p>\n
In het verdere proces van decoding werden de via de link gekoppelde gegevens van de authenticatietag («authentication tag») vermengd met de aanvullende verifieerbare gegevens (AAD, Associated Authenticated Data) die in de RX-buffer werden gekopieerd, en de ciphertext, terwijl de offset voor de schrijfoperatie in de authenticatietag werd berekend ten opzichte van de gekopieerde gegevens zonder deugdelijke controles, wat het mogelijk maakte om willekeurige gebieden in de pagina-cache te overschrijven.<\/p>\n
De kwetsbaarheid maakt het mogelijk om bij elke aanvraag 4 bytes te overschrijven op een gekozen offset, waardoor een aanvaller door een serie aanvragen de inhoud van elk bestand in het systeem kan wijzigen dat voor lezen toegankelijk is, nadat het eerder in de cache is geplaatst. Aangezien bij alle leesoperaties uit bestanden de inhoud eerst uit de pagina-cache wordt geleverd, zal de kernel of het proces bij het lezen van gegevens uit een bestand niet de werkelijke maar de vervalste gegevens ontvangen, wat kan worden gebruikt om code in uitvoerbare bestanden of gedeelde bibliotheken te injecteren.<\/p>\n
Om code met root-rechten uit te voeren, moet de paginacache worden gewijzigd voor elk uitvoerbaar bestand met de suid root-vlag.
\nIn de voorgestelde exploit wordt het uitvoerbare bestand \/usr\/bin\/su gelezen en de inhoud daarvan, die in de pagina-cache is geladen, aangepast om eigen code in te voegen. Bij de volgende uitvoering van het «su»-hulpprogramma zal niet het originele uitvoerbare bestand van de opslag in het geheugen worden geladen, maar een gewijzigde kopie uit de pagina-cache.<\/p>\n
De exploit is universeel, vereist geen aanpassing aan distributies of kernelversies en kan met elke distributie worden gebruikt. Aangezien bij het gebruik van containerisolatie een gedeelde paginacache voor alle containers wordt gebruikt, kan de kwetsbaarheid worden gebruikt om toegang te krijgen tot de hostomgeving vanuit een container (er wordt later een exploit beloofd om de isolatie in Kubernetes te omzeilen).<\/p>\n
De kwetsbaarheid is met behulp van AI ontdekt na ongeveer een uur experimenteren met de analyse van de code van de cryptosubsystemen van de kernel. Het probleem doet zich voor vanaf kernelversie Linux 4.14, die in 2017 werd uitgebracht, en is verholpen in kernels 6.18.22, 6.19.12 en 7.0. De status van de oplossing van kwetsbaarheden in distributies kan worden beoordeeld op deze pagina's: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Als een tijdelijke oplossing voor de beveiliging kan de kernelmodule algif_aead worden uitgeschakeld, die wordt gebruikt in OpenSSL bij de expliciete activatie van de afalg-engine en in bepaalde applicaties (de aanwezigheid van dergelijke actieve applicaties kan worden gecontroleerd met het commando «lsof | grep AF_ALG»):<\/p>\n