Výskumníci v oblasti kybernetickej bezpečnosti zverejnili detaily linuxovej zraniteľnosti typu lokálna eskalácia privilégií (LPE), ktorá by mohla umožniť neprivilegovanému lokálnemu používateľovi získať root práva.
Zraniteľnosť s vysokou závažnosťou, evidovaná ako CVE-2026-31431 (CVSS skóre: 7.8), bola pomenovaná Copy Fail spoločnosťami Xint.io a Theori.
„Neprivilegovaný lokálny používateľ môže zapísať štyri kontrolované bajty do page cache akéhokoľvek čitateľného súboru v linuxovom systéme a použiť to na získanie root práv,“ uviedol výskumný tím z Xint.io a Theori.
V jadre problému sa zraniteľnosť odvíja od logickej chyby v kryptografickom subsystéme linuxového jadra, konkrétne v module algif_aead. Problém bol zavedený v commit-e zdrojového kódu vykonanom v auguste 2017.
Úspešné zneužitie tejto chyby by mohlo umožniť jednoduchému Python skriptu s veľkosťou 732 bajtov upraviť setuid binárku a získať root práva prakticky na všetkých linuxových distribúciách vydaných od roku 2017, vrátane Amazon Linux, Red Hat Enterprise Linux, SUSE Linux a Ubuntu. Python exploit zahŕňa štyri kroky:
- Otvoriť AF_ALG socket a naviazať ho na authencesn(hmac(sha256),cbc(aes))
- Vytvoriť shellcode payload
- Spustiť zápis do cache-ovanej kópie súboru „/usr/bin/su“ v jadre
- Zavolať execve(”/usr/bin/su”) na načítanie vloženého shellcode a jeho spustenie ako root
Aj keď zraniteľnosť nie je sama o sebe zneužiteľná na diaľku, lokálny neprivilegovaný používateľ môže získať root jednoducho poškodením page cache setuid binárky. Táto primitíva má zároveň dopady naprieč kontajnermi, keďže page cache je zdieľaná medzi všetkými procesmi v systéme.
Copy Fail má podobnosti so zraniteľnosťou CVE-2022-0847 (Dirty Pipe), ďalšou LPE zraniteľnosťou v linuxovom jadre, ktorá umožňovala neprivilegovaným používateľom vkladať dáta do page cache read-only súborov a následne prepísať citlivé súbory v systéme za účelom vykonania kódu.
„Copy Fail je rovnaká trieda primitívy, len v inom subsystéme,“ uviedol David Brumley zo spoločnosti Bugcrowd. „Optimalizácia ‘in-place’ z roku 2017 v algif_aead umožňuje, aby sa stránka z page cache dostala do zapisovateľného cieľového scatterlistu jadra pre AEAD operáciu odoslanú cez AF_ALG socket. Neprivilegovaný proces potom môže použiť splice() do tohto socketu a vykonať malý, cielený zápis do page cache súboru, ktorý nevlastní.“
To, čo robí túto zraniteľnosť nebezpečnou, je fakt, že ju možno spoľahlivo vyvolať a nevyžaduje žiadnu race condition ani znalosti offsetov jadra. Navyše, ten istý exploit funguje naprieč distribúciami.
„Táto zraniteľnosť je jedinečná, pretože má štyri vlastnosti, ktoré sa takmer nikdy nevyskytujú spolu: je prenositeľná, malá, nenápadná a funguje naprieč kontajnermi,“ uviedol hovorca Xint.io pre The Hacker News. „Umožňuje akémukoľvek používateľskému účtu, bez ohľadu na jeho úroveň, zvýšiť svoje privilégia na plný administrátorský prístup. Zároveň umožňuje obísť sandboxing a funguje naprieč všetkými verziami a distribúciami Linuxu.“
Viac informácií tu:
https://thehackernews.com/2026/04/new-linux-copy-fail-vulnerability.html