Copy Fail sårbarheten tillåter eskalering till root på Linux-distributioner

En logisk brist i det kryptografiska undersystemet i Linux-kärnan tillåter oprivilegierade lokala användare att höja sina rättigheter till rotnivån. Desenvolvedores stora distributioner har redan börjat distribuera patchar för att fixa CVE-2026-31431, känd som Copy Fail.

Problemet ligger i mallen authenticationsn, som används i autentiserade krypteringsoperationer. Ele gör det möjligt att skriva fyra kontrollerade bytes till sidcachen för vilken läsbar fil som helst. Essa förändring påverkar direkt kärnladdning av binärer.

Detalhes autentiseringsfeltekniker

Felet uppstod från en förändring som genomfördes 2017 i modulen algif_aead. Essa-ändringen tillät att sidcache-sidor var tillgängliga för skrivning i vissa scatterlist-scenarier. Diferente Från andra klassiska sårbarheter kräver Copy Fail inte tävlingsförhållanden för att fungera.

Pesquisadores från Theori identifierade problemet med stöd av AI-baserade skanningsverktyg. Beviset på konceptet är ett Python-skript med bara 10 rader och 732 byte. Ele modifierar setuid-binärer och kör kod med förhöjda privilegier på de flesta distributioner som släppts sedan 2017.

• CVE-2026-31431 fick poängen 7,8/10, klassad som hög svårighetsgrad
• Exploração fungerar i multi-tenant-miljöer och behållare med delad kärna
• Page delad cache på värd tillåter potentiell flykt från Kubernetes-behållare
• Não kan fjärrexploateras isolerat, men förstärker andra vektorer

Exploateringen ändrar binären i minnet utan att utlösa händelsebaserade detekteringsmekanismer för filsystemet som inotify. Isso gör upptäckten mer komplex i realtid.

‼️Copy Fail (CVE-2026-31431) is a Linux privilege escalation bug that lets any local user get root using a 732-byte Python script, and itworks on basically every major Linux distro shipped since 2017.

Website: https://t.co/KsC4XDIdnn

Write-up: https://t.co/ah4C7XtRLZ

GitHub:… pic.twitter.com/EwqDdAxSKb

— Dark Web Informer (@DarkWebInformer) April 29, 2026

Impacto i produktions- och containermiljöer

Sistemas som kör otillförlitlig kod, som CI/CD-löpare eller delade servrar, är mer utsatta. Delad sidcache på värdnivå utgör en konkret flyktrisk i containeriserade miljöer.

Distribuições som Debian, Ubuntu och SUSE har redan gjort uppdaterade kärnor tillgängliga. Red Hat har ändrat sin initiala uppskjutningsposition och erbjuder nu patchen i synk med ekosystemet. Outros-leverantörer, inklusive Fedora, har också bekräftat korrigeringen.

Administradores som hanterar flera hyresgäster eller arbetsbelastningar från tredje part bör prioritera uppgraderingen. Felet blev snabbt synligt efter ett samordnat avslöjande.

Leia Também

Maj-horoskopet avslöjar astrologiska förändringar i alla tecken

F1 avancerar eventuell start av Miami GP för att undvika stormar på söndag

Formel 1 hyllar Ayrton Senna på 32-årsdagen av hans död i Imola

Como mildra tills fullt plåster applicerats

En tillfällig åtgärd är att inaktivera algif_aead-modulen. Isso förhindrar att den sårbara komponenten laddas i de flesta scenarier.

• Crie filen /etc/modprobe.d/disable-algif.conf med innehållet: installera algif_aead /bin/false
• Execute rmmod algif_aead för att ta bort modulen om den är laddad

Essa-konfiguration kan påverka applikationer som uttryckligen är beroende av krypteringsmodulen. Testes i uppställningsmiljöer rekommenderas före applicering i produktion. Officiell Atualizações förblir den definitiva lösningen.

Atualizações släppt av distributioner

Patch-utrullning sker på ett samordnat sätt mellan de huvudsakliga underhållarna. Debian och Ubuntu har publicerat nya kärnor med den nödvändiga återgången till in-place-beteendet för algif_aead. SUSE följde efter med uppdaterade paket.

Red Hat har anpassat sina riktlinjer efter intern granskning. Linux-communityt följer processen på diskussionslistor och tekniska forum. Muitos-administratörer har redan startat applikationen på kritiska servrar.

Den senaste tidens ökning av sårbarhetsrapporter är direkt relaterad till användningen av AI-verktyg vid feljakt. Programas som Internet Bug Bounty registrerade en hög volym av bidrag, vilket ledde till tillfälliga justeringar av tilldelningsprocesserna.

Vad ändras för Linux sysadmins

Upptäckten förstärker behovet av att hålla kärnor uppdaterade, särskilt på delade infrastrukturer. Säkerhet Equipes utvärderar nu närmare kryptografiska moduler och kärnkomponenter som laddas som standard.

Copy Fail liknar historiska fel som Dirty Cow och Dirty Pipe, men utmärker sig för sin enkelhet i utforskning och bredd. Public PoC underlättar testning, men påskyndar också potentiellt missbruk i oparpade miljöer.

Pesquisadores uppskattar att de flesta installationer som har varit aktiva sedan 2017 kräver omedelbar uppmärksamhet. Samordning mellan leverantörer begränsade exponeringsperioden efter ansvarsfullt avslöjande.