Pesquisadores da Xint identificaram uma vulnerabilidade no n\u00facleo do Linux (CVE-2026-31431) que permite que um usu\u00e1rio n\u00e3o privilegiado obtenha acesso root ao sistema. A quest\u00e3o foi nomeada 'Copy Fail'. Um prot\u00f3tipo de exploit est\u00e1 dispon\u00edvel. A possibilidade de explora\u00e7\u00e3o da vulnerabilidade foi demonstrada no Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 e SUSE 16, mas observa-se que pacotes com n\u00facleos de outras distribui\u00e7\u00f5es, incluindo Debian, Arch, Fedora, Rocky e Alma, tamb\u00e9m est\u00e3o sujeitos ao problema, embora n\u00e3o tenham sido testados separadamente.<\/p>\n
A vulnerabilidade \u00e9 causada por um erro l\u00f3gico na API crypto (AF_ALG) do n\u00facleo do Linux, cometido ao realizar uma otimiza\u00e7\u00e3o em 2017 que eliminou a dupla bufferiza\u00e7\u00e3o atrav\u00e9s da execu\u00e7\u00e3o em local (in-place) de opera\u00e7\u00f5es de criptografia de bloco AEAD (Criptografia Autenticada com Dados Associados). O problema surgiu devido ao uso imprudente da fun\u00e7\u00e3o splice(), que transfere dados entre descritores de arquivo e canais (pipe) sem c\u00f3pias, passando refer\u00eancias a elementos no cache de p\u00e1ginas. Ap\u00f3s a otimiza\u00e7\u00e3o, ao transferir um arquivo para o socket AF_ALG para descriptografia, uma refer\u00eancia n\u00e3o era escrita para um buffer separado, mas uma refer\u00eancia direta para os elementos do cache de p\u00e1ginas do n\u00facleo com os dados do arquivo.<\/p>\n
No processo de decodifica\u00e7\u00e3o, os dados do tag de autentica\u00e7\u00e3o (\"authentication tag\") vinculados por refer\u00eancia foram misturados com os dados autentic\u00e1veis adicionais (AAD, Associated Authenticated Data) copiados para o buffer RX e o texto cifrado, e o deslocamento para a opera\u00e7\u00e3o de grava\u00e7\u00e3o no tag de autentica\u00e7\u00e3o era calculado em rela\u00e7\u00e3o aos dados copiados sem devidas verifica\u00e7\u00f5es, o que permitia sobrescrever \u00e1reas arbitr\u00e1rias no cache da p\u00e1gina.<\/p>\n
A vulnerabilidade permite que a cada solicita\u00e7\u00e3o sejam sobrescritos 4 bytes em um deslocamento selecionado, o que permite que um atacante, ao enviar uma s\u00e9rie de solicita\u00e7\u00f5es, modifique o conte\u00fado de qualquer arquivo acess\u00edvel para leitura no sistema, desde que tenha sido colocado em cache. Como em qualquer opera\u00e7\u00e3o de leitura de arquivos, o conte\u00fado \u00e9 entregue primeiro a partir do cache de p\u00e1ginas, ap\u00f3s a substitui\u00e7\u00e3o das informa\u00e7\u00f5es no cache, o n\u00facleo ou o processo, ao ler os dados do arquivo, receber\u00e1 dados n\u00e3o factuais, mas alterados, o que pode ser utilizado para injetar c\u00f3digo em arquivos execut\u00e1veis ou bibliotecas compartilhadas carregadas.<\/p>\n
Para executar o c\u00f3digo com permiss\u00f5es de root, \u00e9 suficiente alterar o cache de p\u00e1gina para qualquer arquivo execut\u00e1vel com a flag suid root.
\nNo exploit proposto, \u00e9 feita a leitura do arquivo execut\u00e1vel \/usr\/bin\/su e a modifica\u00e7\u00e3o do conte\u00fado carregado desse arquivo no cache da p\u00e1gina para inserir seu pr\u00f3prio c\u00f3digo. Quando o utilit\u00e1rio \"su\" for executado posteriormente, uma c\u00f3pia modificada do cache da p\u00e1gina, e n\u00e3o o arquivo execut\u00e1vel original do armazenamento, ser\u00e1 carregada na mem\u00f3ria.<\/p>\n
O exploit \u00e9 universal, n\u00e3o requer adapta\u00e7\u00e3o para distribui\u00e7\u00f5es ou vers\u00f5es do kernel, e pode ser utilizado com quaisquer distribui\u00e7\u00f5es. Como a isola\u00e7\u00e3o em cont\u00eaineres utiliza um cache de p\u00e1gina compartilhado para todos os cont\u00eaineres, a vulnerabilidade pode ser explorada para obter acesso ao ambiente host a partir do cont\u00eainer (um exploit para contornar a isola\u00e7\u00e3o no Kubernetes ser\u00e1 publicado posteriormente).<\/p>\n
A vulnerabilidade foi identificada com a ajuda de IA ap\u00f3s cerca de uma hora de experimentos com a an\u00e1lise do c\u00f3digo do subsistema criptogr\u00e1fico do kernel. O problema se manifesta a partir do kernel Linux 4.14, lan\u00e7ado em 2017, e foi corrigido nos kernels 6.18.22, 6.19.12 e 7.0. O status da corre\u00e7\u00e3o das vulnerabilidades nas distribui\u00e7\u00f5es pode ser avaliado nas seguintes p\u00e1ginas: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Como uma solu\u00e7\u00e3o alternativa para a prote\u00e7\u00e3o, pode-se desabilitar o m\u00f3dulo do kernel algif_aead, que \u00e9 usado no OpenSSL quando o mecanismo afalg \u00e9 explicitamente ativado e em alguns aplicativos separados (\u00e9 poss\u00edvel verificar a presen\u00e7a de aplicativos em execu\u00e7\u00e3o desse tipo com o comando \"lsof | grep AF_ALG\"):<\/p>\n