Błąd logiczny w jądrze Linuksa umożliwia przejęcie systemu. Łatka dostępna

Firma Theori wykryła poważną lukę w jądrze Linuksa, która umożliwia nieprzywilegiowanemu atakującemu modyfikację plików wykonywalnych w pamięci i uzyskanie pełnych uprawnień administratora. Podatność, oznaczona jako CVE-2026-31431 i nazwana Copy Fail, otrzymała ocenę 7.8 w skali CVSS. Problem dotyczy wszystkich dystrybucji Linuksa wydanych od 2017 roku.

Mechanizm podatności i jej źródło

Błąd tkwi w szablonie authencesn jądra, odpowiedzialnym za szyfrowanie uwierzytelnione z danymi powiązanymi (AEAD), wykorzystywanym przez protokół IPsec do obsługi rozszerzonych numerów sekwencji. Theori wskazuje, że problem powstał w wyniku optymalizacji wprowadzonej w 2017 roku, która umieściła strony pamięci podręcznej (page cache) w zapisywalnej liście rozproszonych bloków pamięci (scatterlist).

Podczas reorganizacji bajtów w przestrzeni roboczej authencesn wykonuje operację zapisującą cztery bajty kodu poza znacznik AEAD, bezpośrednio do kopii innego pliku przechowywanej w pamięci podręcznej. Badacze z Theori opisali szczegóły mechanizmu, który różni się od wcześniejszych luk takich jak Dirty Pipe czy Dirty Cow.

Praktyczne wykorzystanie i skala zagrożenia

Atakujący posiadający możliwość lokalnego wykonania kodu może zmodyfikować kopię w pamięci dowolnego pliku binarnego z ustawionym bitem setuid-root, który jest czytelny dla użytkownika. To pozwala na uzyskanie powłoki z uprawnieniami administratora. Firma Theori potwierdza, że eksploitacja wymaga jedynie prostego skryptu w Pythonie o długości 732 bajtów i działa na praktycznie każdej dystrybucji Linuksa wydanej od 2017 roku.

Szczególnie wysokie ryzyko dotyczy środowisk wielodostępnych, kontenerów współdzielących jądro systemu oraz platform CI/CD wykonujących niezaufany kod. Kluczowym aspektem zagrożenia jest to, że wszystkie zmiany zachodzą wyłącznie w pamięci — plik na dysku pozostaje niezmieniony, co utrudnia wykrycie ataku tradycyjnymi metodami.

Różnice względem wcześniejszych podatności

Copy Fail wyróżnia się na tle innych znanych luk w jądrze Linuksa. W przeciwieństwie do Dirty Pipe, która nadużywa flag buforów potoków, Copy Fail wykorzystuje błąd logiczny w obsłudze pamięci podręcznej. Dirty Cow natomiast opierała się na wyścigu w mechanizmie kopiowania przy zapisie (copy-on-write). Theori podkreśla, że pamięć podręczna jest współdzielona między kontenerami, co oznacza możliwość kompromitacji węzła i przejścia między środowiskami różnych użytkowników.

Łatki i zalecenia dla administratorów

Dostępne poprawki usuwają optymalizację wprowadzoną w 2017 roku, przywracając operacje poza miejscem i eliminując mechanizm łączący strony znaczników pamięci podręcznej z zapisywalną listą docelową. Administratorzy powinni niezwłocznie zaktualizować dystrybucje Linuksa do wersji zawierających łatkę, szczególnie w środowiskach wykonujących niezaufane obciążenia.

Organizacje zarządzające infrastrukturą kontenerową, platformami CI/CD czy systemami wielodostępnymi powinny traktować tę aktualizację priorytetowo. Warto również monitorować logi systemowe pod kątem nietypowej aktywności związanej z plikami binarnymi setuid-root, choć wykrycie eksploitacji może być utrudnione ze względu na brak zmian na dysku.

Kontekst i perspektywa czasowa

Podatność pozostawała niewykryta przez niemal dziewięć lat. To pokazuje złożoność współczesnych systemów operacyjnych i trudność w identyfikacji subtelnych błędów logicznych. Problem dotyka fundamentalnego mechanizmu jądra, używanego przez kluczowe protokoły sieciowe. Szybkie udostępnienie łatek przez główne dystrybucje świadczy o powadze sytuacji i sprawności procesu reagowania społeczności open source.

Użytkownicy domowi korzystający z Linuksa na stacjach roboczych są mniej narażeni niż operatorzy infrastruktury serwerowej, jednak aktualizacja pozostaje zalecana dla wszystkich. Brak publicznych doniesień o wykorzystaniu podatności przed ujawnieniem nie oznacza, że nie była ona wykorzystywana — charakter ataku utrudnia jego wykrycie post factum.