Copy Fail-sårbarhed tillader eskalering til root på Linux-distributioner

En logisk fejl i det kryptografiske undersystem af Linux-kernen tillader uprivilegerede lokale brugere at hæve deres rettigheder til rodniveauet. Desenvolvedores store distributioner er allerede begyndt at distribuere patches til at rette CVE-2026-31431, kendt som Copy Fail.

Problemet er i authenticationsn-skabelonen, der bruges i autentificerede krypteringsoperationer. Ele gør det muligt at skrive fire kontrollerede bytes til sidecachen i enhver læsbar fil. Ændring af Essa påvirker direkte kerneindlæsning af binære filer.

Detalhes-godkendelsesfejl teknikere

Fejlen opstod fra en ændring implementeret i 2017 i algif_aead-modulet. Essa-ændring tillod sidecache-sider at være tilgængelige til skrivning i visse scatterliste-scenarier. Diferente Fra andre klassiske sårbarheder kræver Copy Fail ikke raceforhold for at fungere.

Pesquisadores fra Theori identificerede problemet med støtte fra AI-baserede scanningsværktøjer. Beviset på konceptet er et Python-script med kun 10 linjer og 732 bytes. Ele modificerer setuid binære filer og kører kode med forhøjede privilegier på de fleste distributioner udgivet siden 2017.

• CVE-2026-31431 modtog en score på 7,8/10, klassificeret som høj sværhedsgrad
• Exploração fungerer i multi-tenant-miljøer og containere med delt kerne
• Page delt cache på værten tillader potentiel escape af Kubernetes containere
• Não kan fjernudnyttes isoleret, men forstærker andre vektorer

Udnyttelsen ændrer det binære i hukommelsen uden at udløse hændelsesbaserede registreringsmekanismer i filsystemet, såsom inotify. Isso gør detektion mere kompleks i realtid.

‼️Copy Fail (CVE-2026-31431) is a Linux privilege escalation bug that lets any local user get root using a 732-byte Python script, and itworks on basically every major Linux distro shipped since 2017.

Website: https://t.co/KsC4XDIdnn

Write-up: https://t.co/ah4C7XtRLZ

GitHub:… pic.twitter.com/EwqDdAxSKb

— Dark Web Informer (@DarkWebInformer) April 29, 2026

Impacto i produktions- og containermiljøer

Sistemas, der kører upålidelig kode, såsom CI/CD-løbere eller delte servere, er mere eksponerede. Delt sidecache på værtsniveau udgør en konkret flugtrisiko i containermiljøer.

Distribuições som Debian, Ubuntu og SUSE har allerede gjort opdaterede kerner tilgængelige. Red Hat har ændret sin oprindelige udsættelsesposition og tilbyder nu patchen i sync med økosystemet. Outros-leverandører, inklusive Fedora, har også bekræftet rettelsen.

Administradores, der administrerer flere lejere eller tredjeparts arbejdsbelastninger, bør prioritere opgraderingen. Fejlen blev hurtigt synlig efter koordineret afsløring.

Leia Também

EA Sports FC 26 kommer til PlayStation Plus sammen med Wuchang Fallen Feathers

Capcoms nye indsats bringer rumudforskning og tyngdekraftsmanipulation til næste generations konsoller

Nintendo definerer lanceringen af ​​en ny generation af konsoller med komplet genskabelse af klassisk Zelda

Como afbød indtil fuld plaster påsat

En midlertidig foranstaltning er at deaktivere algif_aead-modulet. Isso forhindrer den sårbare komponent i at indlæses i de fleste scenarier.

• Crie filen /etc/modprobe.d/disable-algif.conf med indholdet: installer algif_aead /bin/false
• Execute rmmod algif_aead for at fjerne modulet, hvis det er indlæst

Essa-konfiguration kan påvirke applikationer, der eksplicit afhænger af krypteringsmodulet. Testes i scenemiljøer anbefales før påføring i produktionen. Officielle Atualizações forbliver den endelige løsning.

Atualizações udgivet af distributioner

Udrulning af patch sker på en koordineret måde mellem de vigtigste vedligeholdere. Debian og Ubuntu har udgivet nye kerner med den nødvendige tilbagevenden til algif_aeads in-place adfærd. SUSE fulgte trop med opdaterede pakker.

Red Hat har tilpasset sin vejledning efter intern gennemgang. Linux-fællesskabet følger processen på diskussionslister og tekniske fora. Muitos-administratorer har allerede startet applikationen på kritiske servere.

Den seneste stigning i sårbarhedsrapporter er direkte relateret til brugen af ​​AI-værktøjer til bugjagt. Programas registrerede ligesom Internet Bug Bounty en høj mængde af indsendelser, hvilket førte til midlertidige justeringer af tildelingsprocesserne.

Hvad ændres for Linux sysadmins

Opdagelsen forstærker behovet for at holde kerner opdateret, især på delte infrastrukturer. Sikkerhed Equipes evaluerer nu nærmere kryptografiske moduler og kernekomponenter indlæst som standard.

Copy Fail ligner historiske fejl som Dirty Cow og Dirty Pipe, men skiller sig ud for sin enkelhed i udforskning og bredde i omfang. Public PoC letter test, men fremskynder også potentielt misbrug i upatchede miljøer.

Pesquisadores vurderer, at de fleste installationer, der har været aktive siden 2017, kræver øjeblikkelig opmærksomhed. Koordinering mellem leverandører begrænsede eksponeringsperioden efter ansvarlig offentliggørelse.