En logisk fejl i det kryptografiske undersystem af Linux-kernen tillader uprivilegerede lokale brugere at hæve deres rettigheder til rodniveauet. Desenvolvedores store distributioner er allerede begyndt at distribuere patches til at rette CVE-2026-31431, kendt som Copy Fail.
Problemet er i authenticationsn-skabelonen, der bruges i autentificerede krypteringsoperationer. Ele gør det muligt at skrive fire kontrollerede bytes til sidecachen i enhver læsbar fil. Ændring af Essa påvirker direkte kerneindlæsning af binære filer.
Detalhes-godkendelsesfejl teknikere
Fejlen opstod fra en ændring implementeret i 2017 i algif_aead-modulet. Essa-ændring tillod sidecache-sider at være tilgængelige til skrivning i visse scatterliste-scenarier. Diferente Fra andre klassiske sårbarheder kræver Copy Fail ikke raceforhold for at fungere.
Pesquisadores fra Theori identificerede problemet med støtte fra AI-baserede scanningsværktøjer. Beviset på konceptet er et Python-script med kun 10 linjer og 732 bytes. Ele modificerer setuid binære filer og kører kode med forhøjede privilegier på de fleste distributioner udgivet siden 2017.
- CVE-2026-31431 modtog en score på 7,8/10, klassificeret som høj sværhedsgrad
- Exploração fungerer i multi-tenant-miljøer og containere med delt kerne
- Page delt cache på værten tillader potentiel escape af Kubernetes containere
- Não kan fjernudnyttes isoleret, men forstærker andre vektorer
Udnyttelsen ændrer det binære i hukommelsen uden at udløse hændelsesbaserede registreringsmekanismer i filsystemet, såsom inotify. Isso gør detektion mere kompleks i realtid.
https://twitter.com/DarkWebInformer/status/2049579219190165658?ref_src=twsrc%5Etfw
Impacto i produktions- og containermiljøer
Sistemas, der kører upålidelig kode, såsom CI/CD-løbere eller delte servere, er mere eksponerede. Delt sidecache på værtsniveau udgør en konkret flugtrisiko i containermiljøer.
Distribuições som Debian, Ubuntu og SUSE har allerede gjort opdaterede kerner tilgængelige. Red Hat har ændret sin oprindelige udsættelsesposition og tilbyder nu patchen i sync med økosystemet. Outros-leverandører, inklusive Fedora, har også bekræftet rettelsen.
Administradores, der administrerer flere lejere eller tredjeparts arbejdsbelastninger, bør prioritere opgraderingen. Fejlen blev hurtigt synlig efter koordineret afsløring.
Como afbød indtil fuld plaster påsat
En midlertidig foranstaltning er at deaktivere algif_aead-modulet. Isso forhindrer den sårbare komponent i at indlæses i de fleste scenarier.
- Crie filen /etc/modprobe.d/disable-algif.conf med indholdet: installer algif_aead /bin/false
- Execute rmmod algif_aead for at fjerne modulet, hvis det er indlæst
Essa-konfiguration kan påvirke applikationer, der eksplicit afhænger af krypteringsmodulet. Testes i scenemiljøer anbefales før påføring i produktionen. Officielle Atualizações forbliver den endelige løsning.
Atualizações udgivet af distributioner
Udrulning af patch sker på en koordineret måde mellem de vigtigste vedligeholdere. Debian og Ubuntu har udgivet nye kerner med den nødvendige tilbagevenden til algif_aeads in-place adfærd. SUSE fulgte trop med opdaterede pakker.
Red Hat har tilpasset sin vejledning efter intern gennemgang. Linux-fællesskabet følger processen på diskussionslister og tekniske fora. Muitos-administratorer har allerede startet applikationen på kritiske servere.
Den seneste stigning i sårbarhedsrapporter er direkte relateret til brugen af AI-værktøjer til bugjagt. Programas registrerede ligesom Internet Bug Bounty en høj mængde af indsendelser, hvilket førte til midlertidige justeringer af tildelingsprocesserne.
Hvad ændres for Linux sysadmins
Opdagelsen forstærker behovet for at holde kerner opdateret, især på delte infrastrukturer. Sikkerhed Equipes evaluerer nu nærmere kryptografiske moduler og kernekomponenter indlæst som standard.
Copy Fail ligner historiske fejl som Dirty Cow og Dirty Pipe, men skiller sig ud for sin enkelhed i udforskning og bredde i omfang. Public PoC letter test, men fremskynder også potentielt misbrug i upatchede miljøer.
Pesquisadores vurderer, at de fleste installationer, der har været aktive siden 2017, kræver øjeblikkelig opmærksomhed. Koordinering mellem leverandører begrænsede eksponeringsperioden efter ansvarlig offentliggørelse.