✔LPE-уязвимость CopyFail позволяет получить root-права в Linux - «Новости»

В ядре Linux нашли уязвимость CopyFail, которая позволяет получить root-доступ без состояния гонки и сложных эксплоитов. Для атаки достаточно короткого Python-скрипта, который работает почти в любом дистрибутиве, вышедшем после 2017 года. О баге, получившем название CopyFail (CVE-2026-31431, 7,8 балла по шкале CVSS), рассказали специалисты из компании Theori. Они обнаружили проблему с помощью собственного ИИ-инструмента Xint Code, который просканировал криптокод ядра примерно за час. Уязвимость связана с повышением привилегий, и с ее помощью локальный пользователь без повышенных привилегий может записать данные в кеш страниц, что в итоге позволяет получить root-права практически в любом дистрибутиве последних лет. Корень проблемы кроется в криптографическом компоненте authencesn, и уязвимость появилась в коде в 2017 году, в результате оптимизации algif_aead. После этого баг девять лет оставался незамеченным. Из-за логической ошибки непривилегированный пользователь может записать четыре произвольных байта в кеш страниц любого доступного для чтения файла. Этого оказывается достаточно для компрометации, так как ядро загружает бинарники именно из кеша страниц при запуске программ. В итоге атакующий фактически подменяет исполняемый файл в памяти. Это позволяет обмануть защитные механизмы, которые отслеживают изменения файловой системы (например, inotify). Более того, после перезагрузки или очистки памяти следы атаки исчезают, ведь на диске ничего не меняется, и анализ не обнаруживает следов компрометации. Исследователи продемонстрировали PoC-эксплоит, который представляет собой Python-скрипт всего на десять строк (732 байта). Он правит бинарник setuid и позволяет получить root-доступ. Подчеркивается, что эксплоит работает в большинстве дистрибутивов Linux, выпущенных после 2017 года, включая Ubuntu, RHEL, SUSE, Amazon Linux и других. Не нужно подстраиваться под конкретную систему, выигрывать состояние гонки (race condition) или работать с утечками адресов ядра, что обычно требуется для локального повышения привилегий. Как отмечают специалисты, проблема CopyFail напоминает уязвимости Dirty COW и Dirty Pipe, однако на практике может оказаться даже более универсальной, а эксплуатация — более линейной и предсказуемой. Хотя CopyFail нельзя эксплуатировать удаленно, баг легко встраивается в цепочку эксплоитов. Исследователи пишут, что его, например, можно комбинировать с RCE-уязвимостью в веб-приложении, компрометацией CI-раннера или доступом через SSH. Эта проблема может оказаться особенно актуальной для мультитенантных систем, контейнеров с общим ядром и CI-сред, где запускается недоверенный код. Кроме того, в зоне риска находятся контейнеры. Поскольку кеш страниц является общим для всей системы, уязвимость потенциально можно использовать как примитив для побега из контейнера и атаки на хост, включая узлы Kubernetes. Патчи для CVE-2026-31431 уже выпустили разработчики Debian, Ubuntu, SUSE и других дистрибутивов. Специалисты Red Hat сначала хотели отложить исправление, но вскоре передумали и тоже начали готовить обновления.