Copy Fail-sårbarhet tillater eskalering til root på Linux-distribusjoner

En logisk feil i det kryptografiske undersystemet til Linux-kjernen lar uprivilegerte lokale brukere heve rettighetene sine til rotnivået. Desenvolvedores store distribusjoner har allerede begynt å distribuere patcher for å fikse CVE-2026-31431, kjent som Copy Fail.

Problemet ligger i autentiseringsmalen, som brukes i autentiserte krypteringsoperasjoner. Ele gjør det mulig å skrive fire kontrollerte byte til sidebufferen til en hvilken som helst lesbar fil. Essa endring påvirker direkte kjernelasting av binærfiler.

Detalhes-autentiseringsfeilteknikere

Feilen oppsto fra en endring implementert i 2017 i algif_aead-modulen. Essa endring tillot sidebuffersider å være tilgjengelige for skriving i visse scatterliste-scenarier. Diferente Fra andre klassiske sårbarheter krever ikke Copy Fail løpsforhold for å fungere.

Pesquisadores av Theori identifiserte problemet med støtte fra AI-baserte skanneverktøy. Beviset på konseptet er et Python-skript med bare 10 linjer og 732 byte. Ele modifiserer setuid-binærfiler og kjører kode med forhøyede rettigheter på de fleste distribusjoner utgitt siden 2017.

• CVE-2026-31431 fikk en poengsum på 7,8/10, klassifisert som høy alvorlighetsgrad
• Exploração fungerer i multi-tenant miljøer og containere med delt kjerne
• Page delt cache på verten tillater potensiell rømming av Kubernetes-beholdere
• Não kan fjernutnyttes isolert, men forsterker andre vektorer

Utnyttelsen endrer binæren i minnet uten å utløse hendelsesbaserte deteksjonsmekanismer for filsystemet som inotify. Isso gjør deteksjon mer kompleks i sanntid.

‼️Copy Fail (CVE-2026-31431) is a Linux privilege escalation bug that lets any local user get root using a 732-byte Python script, and itworks on basically every major Linux distro shipped since 2017.

Website: https://t.co/KsC4XDIdnn

Write-up: https://t.co/ah4C7XtRLZ

GitHub:… pic.twitter.com/EwqDdAxSKb

— Dark Web Informer (@DarkWebInformer) April 29, 2026

Impacto i produksjons- og containermiljøer

Sistemas som kjører uklarert kode, for eksempel CI/CD-løpere eller delte servere, er mer utsatt. Delt sidebuffer på vertsnivå utgjør en konkret rømningsrisiko i containeriserte miljøer.

Distribuições som Debian, Ubuntu og SUSE har allerede gjort oppdaterte kjerner tilgjengelig. Red Hat har endret sin opprinnelige utsettelsesposisjon og tilbyr nå oppdateringen synkronisert med økosystemet. Outros-leverandører, inkludert Fedora, har også bekreftet løsningen.

Administradores som administrerer flere leietakere eller tredjeparts arbeidsbelastninger bør prioritere oppgraderingen. Feilen ble raskt synlig etter koordinert avsløring.

Leia Também

Kvinne rapporterer traumer etter å ha blitt registrert i seksuelle handlinger uten samtykke hjemme

New York Red Bulls-spillere bor hos foreldre til tross for profesjonelle lønninger

Klassiske iPod-er gjenvinner gunst blant Gen Z-brukere på grunn av sikkerhetsfeil

Como redusere til full lapp er påført

Et midlertidig tiltak er å deaktivere algif_aead-modulen. Isso forhindrer at den sårbare komponenten lastes inn i de fleste scenarier.

• Crie filen /etc/modprobe.d/disable-algif.conf med innholdet: installer algif_aead /bin/false
• Execute rmmod algif_aead for å fjerne modulen hvis den er lastet

Essa-konfigurasjon kan påvirke applikasjoner som eksplisitt er avhengige av krypteringsmodulen. Testes i oppstillingsmiljøer anbefales før påføring i produksjon. Offisiell Atualizações er fortsatt den definitive løsningen.

Atualizações utgitt av distribusjoner

Utrulling av oppdateringer skjer på en koordinert måte mellom de viktigste vedlikeholderne. Debian og Ubuntu har publisert nye kjerner med den nødvendige tilbakeføringen til den lokale oppførselen til algif_aead. SUSE fulgte etter med oppdaterte pakker.

Red Hat har tilpasset sin veiledning etter intern gjennomgang. Linux-fellesskapet følger prosessen på diskusjonslister og tekniske fora. Muitos-administratorer har allerede startet applikasjonen på kritiske servere.

Den nylige økningen i sårbarhetsrapporter er direkte relatert til bruken av AI-verktøy i feiljakt. Programas som Internet Bug Bounty registrerte et høyt volum av innleveringer, noe som førte til midlertidige justeringer av tildelingsprosessene.

Hva endres for Linux-sysadmins

Oppdagelsen forsterker behovet for å holde kjerner oppdatert, spesielt på delte infrastrukturer. Sikkerhet Equipes evaluerer nå nærmere kryptografiske moduler og kjernekomponenter som er lastet inn som standard.

Copy Fail ligner historiske feil som Dirty Cow og Dirty Pipe, men skiller seg ut for sin enkelhet i leting og bredde i omfang. Public PoC forenkler testing, men akselererer også potensielt misbruk i uoppdaterte miljøer.

Pesquisadores anslår at de fleste installasjoner som har vært aktive siden 2017 krever umiddelbar oppmerksomhet. Koordinering mellom leverandører begrenset eksponeringsperioden etter ansvarlig avsløring.