Forskare fr\u00e5n f\u00f6retaget Xint har identifierat en s\u00e5rbarhet i Linux-k\u00e4rnan (CVE-2026-31431) som g\u00f6r det m\u00f6jligt f\u00f6r en icke-privilegerad anv\u00e4ndare att f\u00e5 root-\u00e5tkomst till systemet. Problemet har kodnamnet Copy Fail. En prototyp av exploiten \u00e4r tillg\u00e4nglig. S\u00e5rbarhetens m\u00f6jliga exploatering har demonstrerats i Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 och SUSE 16, men det noteras att k\u00e4rnpaketen fr\u00e5n andra distributioner, inklusive Debian, Arch, Fedora, Rocky och Alma, ocks\u00e5 \u00e4r drabbade, \u00e4ven om de inte har testats separat.<\/p>\n
S\u00e5rbarheten orsakas av ett logiskt fel i crypto API (AF_ALG) i Linux-k\u00e4rnan, som intr\u00e4ffade vid en optimering 2017 som tog bort \u00f6verfl\u00f6dig buffring genom att utf\u00f6ra blockchifferoperationer in-place (AEAD - Authenticated Encryption with Associated Data). Problemet uppstod p\u00e5 grund av o\u00f6vert\u00e4nkt anv\u00e4ndning av funktionen splice(), som \u00f6verf\u00f6r data mellan filbeskrivare och r\u00f6r (pipe) utan att kopiera, genom att \u00f6verf\u00f6ra referenser till element i sidcache. Efter optimeringen vid \u00f6verf\u00f6ring av en fil till en AF_ALG-socket f\u00f6r dekryptering skrevs inte en referens till en separat buffer till scatterlist-strukturen, utan en direkt referens till element i sidcache av k\u00e4rnan med filens data.<\/p>\n
I det framtida avkodningsprocessen blandades de l\u00e4nkade autentiseringstj\u00e4nsterna («authentication tag») med ytterligare autentiserbara data (AAD, Associated Authenticated Data) som kopierades till RX-bufferten, och chiffertexten, samt f\u00f6rskjutningen f\u00f6r skrivoperationen i autentiseringstj\u00e4nsten ber\u00e4knades i f\u00f6rh\u00e5llande till de kopierade data utan tillr\u00e4ckliga kontroller, vilket gjorde det m\u00f6jligt att skriva \u00f6ver godtyckliga omr\u00e5den i sidutf\u00e4llan.<\/p>\n
S\u00e5rbarheten g\u00f6r det m\u00f6jligt att vid varje f\u00f6rfr\u00e5gan \u00f6verskriva 4 byte p\u00e5 en vald f\u00f6rskjutning, vilket g\u00f6r att en angripare genom att skicka en serie f\u00f6rfr\u00e5gningar kan \u00e4ndra inneh\u00e5llet i sidcache f\u00f6r vilken fil som helst i systemet som \u00e4r l\u00e4sbar, efter att ha lyckats f\u00e5 den konverterad till cache. Eftersom inneh\u00e5llet vid alla l\u00e4soperationer fr\u00e5n filerna f\u00f6rst returneras fr\u00e5n sidcache, efter att ha ersatt informationen i sidcache, kommer k\u00e4rnan eller processen att f\u00e5 data fr\u00e5n filen som inte \u00e4r de faktiska, utan manipulerade data, vilket kan anv\u00e4ndas f\u00f6r att injicera kod i k\u00f6rbara filer eller laddade delade bibliotek.<\/p>\n
F\u00f6r att k\u00f6ra kod med root-r\u00e4ttigheter r\u00e4cker det med att \u00e5stadkomma en \u00e4ndring av sidcache f\u00f6r en exekverbar fil med suid root-flaggan.
\nI den f\u00f6reslagna exploateringen utf\u00f6rs l\u00e4sning av k\u00f6rfilen \/usr\/bin\/su och modifiering av den laddade inneh\u00e5llet i sidutf\u00e4llan f\u00f6r att infoga sin egen kod. Vid efterf\u00f6ljande k\u00f6rning av verktyget «su» laddas inte den ursprungliga k\u00f6rfilen fr\u00e5n lagringsenheten, utan en \u00e4ndrad kopia fr\u00e5n sidutf\u00e4llan.<\/p>\n
Exploateringen \u00e4r universell, kr\u00e4ver ingen anpassning till distributioner eller k\u00e4rnversioner, och kan anv\u00e4ndas med alla distributioner. Eftersom alla containrar anv\u00e4nder en gemensam sidcache vid anv\u00e4ndning av containerisolering, kan s\u00e5rbarheten utnyttjas f\u00f6r att f\u00e5 \u00e5tkomst till v\u00e4rdmilj\u00f6n fr\u00e5n containern (det lovas att publicera en exploatering f\u00f6r att kringg\u00e5 isoleringen i Kubernetes senare).<\/p>\n
S\u00e5rbarheten identifierades med hj\u00e4lp av AI efter cirka en timme av experimenterande analys av kryptosubsystemet i k\u00e4rnan. Problemet manifesterar sig fr\u00e5n och med Linux-k\u00e4rnan 4.14, sl\u00e4ppt 2017, och har \u00e5tg\u00e4rdats i k\u00e4rnorna 6.18.22, 6.19.12 och 7.0. Status f\u00f6r \u00e5tg\u00e4rdade s\u00e5rbarheter i distributionerna kan bed\u00f6mas p\u00e5 dessa sidor: Debian, Ubuntu, SUSE\/openSUSE, RHEL, Gentoo, Arch,
\nFedora, ROSA.<\/p>\n
Som en omv\u00e4g till skyddet kan k\u00e4rnmodulen algif_aead st\u00e4ngas av, vilken anv\u00e4nds i OpenSSL vid uttrycklig aktivering av motorn afalg och i vissa applikationer (f\u00f6r att kontrollera existensen av s\u00e5dana k\u00f6rda applikationer kan kommandot «lsof | grep AF_ALG» anv\u00e4ndas):<\/p>\n