Cercet\u0103torii de la Xint au identificat o vulnerabilitate \u00een nucleul Linux (CVE-2026-31431) care permite unui utilizator f\u0103r\u0103 privilegii s\u0103 ob\u021bin\u0103 acces root la sistem. Problema a fost denumit\u0103 Copy Fail. Un prototip de exploit este disponibil. Posibilitatea exploat\u0103rii vulnerabilit\u0103\u021bii a fost demonstrat\u0103 pe Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 \u0219i SUSE 16, \u00eens\u0103 se noteaz\u0103 c\u0103 pachetele cu nucleul din alte distribu\u021bii, inclusiv Debian, Arch, Fedora, Rocky \u0219i Alma, sunt de asemenea vulnerabile, dar nu au fost testate separat.<\/p>\n
Vulnerabilitatea este cauzat\u0103 de o eroare logic\u0103 \u00een API-ul crypto (AF_ALG) al nucleului Linux, comis\u0103 \u00een timpul unei optimiz\u0103ri din 2017 care elimina suprabufferizarea prin execu\u021bia opera\u021biunilor de criptare blocare AEAD (Autenticare Criptare cu Date Asociate) in-place. Problema a ap\u0103rut din utilizarea imprudent\u0103 a func\u021biei splice(), care transfer\u0103 date \u00eentre descriptorii de fi\u0219iere \u0219i pipe-uri f\u0103r\u0103 a copia, prin transmiterea referin\u021belor la elementele din cache-ul paginilor. Dup\u0103 optimizare, c\u00e2nd un fi\u0219ier este transferat \u00eentr-un socket AF_ALG pentru decriptare, \u00een structura scatterlist se scria nu o referin\u021b\u0103 la un buffer separat, ci o referin\u021b\u0103 direct\u0103 la elementele din cache-ul paginilor ale nucleului cu datele fi\u0219ierului.<\/p>\n
Ulterior, \u00een procesul de decriptare AEAD, datele asociate prin link ale etichetei de autentificare («eticheta de autentificare») au fost amestecate cu datele suplimentare autentificabile copiate \u00een bufferul RX (AAD, Date Autentificate Asociate) \u0219i cu textul criptat, iar offsetul pentru opera\u021bia de scriere \u00een eticheta de autentificare a fost calculat \u00een raport cu datele copiate f\u0103r\u0103 controale corespunz\u0103toare, ceea ce a permis rescrierea unor zone arbitrare din cache-ul paginii.<\/p>\n
Vulnerabilitatea permite, la fiecare cerere, s\u0103 se suprascrie 4 octe\u021bi la un offset ales, ceea ce permite atacatorului, prin trimiterea unei serii de cereri, s\u0103 modifice \u00een cache-ul paginilor con\u021binutul oric\u0103rui fi\u0219ier din sistem, accesibil pentru citire, dup\u0103 ce a ob\u021binut plasarea acestuia \u00een cache. Deoarece la orice opera\u021biune de citire a fi\u0219ierelor con\u021binutul este livrat, \u00een primul r\u00e2nd, din cache-ul paginilor, dup\u0103 \u00eenlocuirea informa\u021biei \u00een cache-ul paginilor, nucleul sau procesul, atunci c\u00e2nd citesc datele din fi\u0219ier, vor ob\u021bine nu datele reale, ci datele falsificate, ceea ce poate fi folosit pentru a injecta cod \u00een fi\u0219iere executabile sau \u00een biblioteci partajate \u00eenc\u0103rcate.<\/p>\n
Pentru a executa codul cu privilegii root, este suficient s\u0103 se modifice memoria cache a paginilor pentru orice fi\u0219ier executabil cu flag-ul suid root.
\n\u00cen exploitul propus, se efectueaz\u0103 citirea fi\u0219ierului executabil \\\/usr\\\/bin\\\/su \u0219i modificarea con\u021binutului \u00eenc\u0103rcat \u00een cache-ul paginii al acestui fi\u0219ier pentru a introduce propriul cod. La urm\u0103toarea rulare a utilitarului «su», va fi \u00eenc\u0103rcat\u0103 \u00een memorie nu versiunea original\u0103 a fi\u0219ierului executabil de pe dispozitiv, ci copia modificat\u0103 din cache-ul paginii.<\/p>\n
Exploitatul este universal, nu necesit\u0103 adaptare la distribu\u021bii sau versiuni de kernel \u0219i poate fi utilizat cu orice distribu\u021bii. Deoarece \u00een utilizarea izol\u0103rii containerelor toate containerele folosesc o memorie cache comun\u0103 a paginilor, vulnerabilitatea poate fi exploatat\u0103 pentru a ob\u021bine acces la mediu gazd\u0103 din container (vor fi publicate ulterior exploat consins pentru a ocoli izolarea \u00een Kubernetes).<\/p>\n
Vulnerabilitatea a fost identificat\u0103 cu ajutorul AI dup\u0103 aproximativ o or\u0103 de experimente de analiz\u0103 a codului subsistemului criptografic al kernel-ului. Problema apare \u00eencep\u00e2nd cu kernel-ul Linux 4.14, lansat \u00een 2017, \u0219i a fost remediat\u0103 \u00een kernel-urile 6.18.22, 6.19.12 \u0219i 7.0. Starea remedierii vulnerabilit\u0103\u021bilor \u00een distribu\u021bii poate fi evaluat\u0103 pe aceste pagini: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Ca o ocolire a protec\u021biei, se poate dezactiva modulul core algoritmului algif_aead, care este utilizat \u00een OpenSSL atunci c\u00e2nd motorul afalg este activat explicit \u0219i \u00een aplica\u021bii specifice (verificarea existen\u021bei unor aplica\u021bii de acest tip poate fi efectuat\u0103 cu comanda «lsof | grep AF_ALG»):<\/p>\n