Une vulnérabilité logique dans le sous-système cryptographique du noyau Linux permet aux utilisateurs locaux non privilégiés d’élever leurs droits au niveau racine. Identificada sous le nom CVE-2026-31431 et surnommée Copy Fail, la faille affecte les distributions sorties depuis 2017. Desenvolvedoras des principales distributions ont déjà distribué des patchs pour corriger le problème. L’exploit fonctionne via un script Python avec seulement dix lignes et 732 octets.
Vulnérabilité technique Mecanismo Copy Fail
Le bug réside dans le modèle d’authentification, un composant utilisé dans les opérations de chiffrement authentifiées. La faille permet aux utilisateurs locaux d’écrire quatre octets contrôlés dans le cache de pages de n’importe quel fichier lisible. La modification Essa affecte directement le chargement des binaires par le noyau, créant une passerelle pour l’élévation des privilèges.
‼️Copy Fail (CVE-2026-31431) is a Linux privilege escalation bug that lets any local user get root using a 732-byte Python script, and itworks on basically every major Linux distro shipped since 2017.
Website: https://t.co/KsC4XDIdnn
Write-up: https://t.co/ah4C7XtRLZ
GitHub:… pic.twitter.com/EwqDdAxSKb
— Dark Web Informer (@DarkWebInformer) April 29, 2026
Le problème provient d’un changement implémenté en 2017 dans le module algif_aead. La modification Essa a permis aux pages de cache de pages d’être disponibles pour l’écriture dans certains scénarios de liste de dispersion. Diferentemente Contrairement à d’autres vulnérabilités classiques, Copy Fail ne nécessite pas de conditions de concurrence pour fonctionner, ce qui simplifie considérablement son exploitation.
Pesquisadores de Theori a identifié le problème avec la prise en charge d’outils d’analyse basés sur l’intelligence artificielle. L’exploit modifie le binaire en mémoire sans déclencher de mécanismes de détection basés sur les événements du système de fichiers tels que inotify. Isso rend la détection plus complexe en temps réel.
Impacto dans les environnements de production et de conteneurisation
- CVE-2026-31431 a reçu un score de 7,8 sur 10, classé comme étant de gravité élevée.
- Exploração fonctionne dans des environnements multi-locataires et des conteneurs avec un noyau partagé.
- Le cache partagé Page sur l’hôte permet un échappement potentiel des conteneurs Kubernetes.
- Não est exploitable à distance de manière isolée, mais amplifie d’autres vecteurs d’attaque.
Les Sistemas qui exécutent du code non fiable, tel que des exécuteurs CI/CD ou des serveurs partagés, sont plus exposés. Le cache de pages partagées au niveau de l’hôte constitue une menace concrète d’évasion dans les environnements conteneurisés. Administradores qui gère plusieurs locataires ou des charges de travail tierces doit donner la priorité à la mise à niveau immédiate du noyau.
Distribuições propose désormais des correctifs corrigés
Debian, Ubuntu et SUSE ont déjà mis à disposition des noyaux mis à jour avec le correctif. Red Hat a changé sa position de report initiale et propose désormais le patch en synchronisation avec l’écosystème. Fedora a également validé le correctif dans ses référentiels. Le déploiement des correctifs s’effectue de manière coordonnée entre les principaux responsables, Debian et Ubuntu publiant de nouveaux noyaux avec le retour nécessaire au comportement sur place d’algif_aead.
La communauté Linux suit le processus sur les listes de discussion et les forums techniques. Les administrateurs Muitos ont déjà démarré l’application sur les serveurs critiques. La coordination entre les fournisseurs a limité la période d’exposition après la divulgation responsable de la défaillance.
Atténuation temporaire Medidas
Une mesure temporaire consiste à désactiver le module algif_aead, empêchant le chargement du composant vulnérable dans la plupart des scénarios. Administradores peut créer le fichier /etc/modprobe.d/disable-algif.conf avec le contenu install algif_aead /bin/false. Após cela, vous devez exécuter rmmod algif_aead pour supprimer le module s’il est chargé.
La configuration Essa peut affecter les applications qui dépendent explicitement du module de chiffrement. Testes dans les environnements de test est recommandé avant l’application en production. Le Atualizações officiel reste la solution définitive et la plus sécurisée pour résoudre complètement la vulnérabilité.
Découverte de Contexto et perspectives d’avenir
Copy Fail ressemble à des failles historiques telles que Dirty Cow et Dirty Pipe, mais se distingue par sa simplicité d’exploration et son étendue. La récente augmentation des rapports de vulnérabilités est directement liée à l’utilisation d’outils d’intelligence artificielle dans la chasse aux bogues. Pesquisadores estime que la majorité des installations actives depuis 2017 nécessitent une attention immédiate pour maintenir la sécurité de fonctionnement.
