Badacze z firmy Xint zidentyfikowali w j\u0105drze Linux podatno\u015b\u0107 (CVE-2026-31431), kt\u00f3ra umo\u017cliwia nieprivilegowanemu u\u017cytkownikowi uzyskanie uprawnie\u0144 root w systemie. Problemowi nadano nazw\u0119 kodow\u0105 Copy Fail. Dost\u0119pny jest prototyp exploita. Mo\u017cliwo\u015b\u0107 wykorzystania podatno\u015bci zosta\u0142a zademonstrowana w Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 i SUSE 16, ale zauwa\u017cono, \u017ce pakiety j\u0105dra z innych dystrybucji, w tym Debian, Arch, Fedora, Rocky i Alma, r\u00f3wnie\u017c s\u0105 nara\u017cone na problem, chocia\u017c nie by\u0142y testowane osobno.<\/p>\n
Podatno\u015b\u0107 zosta\u0142a spowodowana b\u0142\u0119dem logicznym w API crypto (AF_ALG) j\u0105dra Linux, kt\u00f3ry wyst\u0105pi\u0142 podczas wprowadzania w 2017 roku optymalizacji eliminuj\u0105cej zb\u0119dne buforowanie poprzez wykonywanie operacji szyfrowania blokowego AEAD (Authenticated Encryption with Associated Data) w miejscu (in-place). Problem powsta\u0142 z powodu nieprzemy\u015blanego u\u017cycia funkcji splice(), kt\u00f3ra przekazuje dane mi\u0119dzy deskryptorami plik\u00f3w a kana\u0142ami (pipe) bez kopiowania, przekazuj\u0105c odniesienia do element\u00f3w w pami\u0119ci podr\u0119cznej. Po wprowadzeniu tej optymalizacji, podczas przesy\u0142ania pliku do gniazda AF_ALG do odszyfrowania, do struktury scatterlist zapisywano nie referencj\u0119 do osobnego bufora, ale bezpo\u015bredni\u0105 referencj\u0119 do element\u00f3w pami\u0119ci podr\u0119cznej j\u0105dra z danymi pliku.<\/p>\n
W dalszym etapie procesu dekodowania AEAD mieszano podwi\u0105zane informacje z tagiem uwierzytelniania (\"authentication tag\") z kopiowanymi do bufora RX dodatkowymi danymi do uwierzytelnienia (AAD, Associated Authenticated Data) oraz szyfrogramem, a przesuni\u0119cie dla operacji zapisu w tagu uwierzytelniania obliczano wzgl\u0119dem skopiowanych danych bez odpowiednich kontroli, co pozwala\u0142o na nadpisywanie dowolnych obszar\u00f3w w pami\u0119ci podr\u0119cznej stron.<\/p>\n
Podatno\u015b\u0107 umo\u017cliwia przy ka\u017cdym \u017c\u0105daniu nadpisanie 4 bajt\u00f3w w wybranym offsetcie, co pozwala atakuj\u0105cemu na zmian\u0119 zawarto\u015bci dowolnego pliku w systemie, dost\u0119pnego do odczytu, poprzez wysy\u0142anie serii \u017c\u0105da\u0144 i wcze\u015bniejsze umieszczanie go w pami\u0119ci podr\u0119cznej. Poniewa\u017c przy wszelkich operacjach odczytu z plik\u00f3w zawarto\u015b\u0107 jest najpierw zwracana z pami\u0119ci podr\u0119cznej, po wymianie informacji w pami\u0119ci podr\u0119cznej, j\u0105dro lub proces podczas odczytywania danych z pliku uzyska nie rzeczywiste, ale zmienione dane, co mo\u017ce by\u0107 u\u017cyte do wstrzykni\u0119cia kodu do wykonywalnych plik\u00f3w or do \u0142adowanych bibliotek wsp\u00f3\u0142dzielonych.<\/p>\n
Aby wykona\u0107 kod z uprawnieniami root, wystarczy zmodyfikowa\u0107 pami\u0119\u0107 podr\u0119czn\u0105 stron dla dowolnego pliku wykonywalnego z flag\u0105 suid root.
\nW zaproponowanym exploicie wykonywane jest odczytywanie pliku wykonywalnego \/usr\/bin\/su i modyfikacja za\u0142adowanej do pami\u0119ci podr\u0119cznej strony zawarto\u015bci tego pliku w celu wstawienia do niego w\u0142asnego kodu. Przy kolejnej pr\u00f3bie uruchomienia narz\u0119dzia \"su\" w pami\u0119ci za\u0142adowana zostanie nie oryginalna wersja pliku wykonywalnego z no\u015bnika, a zmodyfikowana kopia z pami\u0119ci podr\u0119cznej.<\/p>\n
Eksploit jest uniwersalny, nie wymaga przystosowania do dystrybucji ani wersji j\u0105dra i mo\u017ce by\u0107 u\u017cywany z dowolnymi dystrybucjami. Poniewa\u017c przy u\u017cyciu izolacji kontenerowej dla wszystkich kontener\u00f3w u\u017cywana jest wsp\u00f3lna pami\u0119\u0107 podr\u0119czna, luki mo\u017cna wykorzysta\u0107, aby uzyska\u0107 dost\u0119p do \u015brodowiska hosta z kontenera (zobowi\u0105zano si\u0119 p\u00f3\u017aniej opublikowa\u0107 exploit do obej\u015bcia izolacji w Kubernetes).<\/p>\n
Luka zosta\u0142a wykryta przy u\u017cyciu AI po oko\u0142o godzinie eksperyment\u00f3w z analiz\u0105 kodu podsystemu kryptograficznego j\u0105dra. Problem pojawia si\u0119 pocz\u0105wszy od j\u0105dra Linux 4.14, wydanego w 2017 roku, i zosta\u0142 usuni\u0119ty w j\u0105drach 6.18.22, 6.19.12 i 7.0. Status usuwania luk w dystrybucjach mo\u017cna oceni\u0107 na danych stronach: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Jako spos\u00f3b obej\u015bcia zabezpiecze\u0144 mo\u017cna wy\u0142\u0105czy\u0107 modu\u0142 j\u0105dra algif_aead, kt\u00f3ry jest u\u017cywany w OpenSSL przy wyra\u017anym w\u0142\u0105czeniu silnika afalg, oraz w niekt\u00f3rych aplikacjach (sprawdzi\u0107 obecno\u015b\u0107 takich uruchomionych aplikacji mo\u017cna poleceniem \"lsof | grep AF_ALG\"):<\/p>\n