Dirty Frag i Copy Fail: nowe fala podatności LPE w Linuxie. Co muszą wiedzieć administratorzy
W ciągu kilku dni ujawniono dwie krytyczne podatności lokalnej eskalacji uprawnień w jądrze Linuxa. Obie pozwalają uzyskać roota bez wyścigów, a exploit Copy Fail trafił już na listę CISA. Artykuł wyjaśnia, na czym polegają luki, które systemy są zagrożone i jak się bronić.
W ostatnich dniach świat cyberbezpieczeństwa skupił się na dwóch poważnych podatnościach lokalnej eskalacji uprawnień (LPE) w jądrze Linuxa. Mowa o Copy Fail (CVE-2026-31431) oraz nowo odkrytej Dirty Frag. Obie luki pozwalają nieuprzywilejowanemu użytkownikowi na uzyskanie dostępu root, co w środowiskach serwerowych, chmurowych i kontenerowych stanowi bezpośrednie zagrożenie dla integralności całej infrastruktury. W tym artykule wyjaśniamy, na czym polegają obie podatności, które systemy są podatne i jakie działania defensywne należy podjąć.
Copy Fail – deterministyczny exploit bez wyścigów
Podatność Copy Fail, opisana przez badaczy z Palo Alto Networks w analizie Unit 42, została publicznie ujawniona 29 kwietnia 2026 roku. To logiczny błąd w jądrze Linuxa, który – jak podkreślają badacze – został odkryty w około godzinę przy użyciu wspomagania AI. Luka znajduje się w podsystemie kryptograficznym jądra, konkretnie w module algif_aead interfejsu AF_ALG.
Jak tłumaczą eksperci, problem wynika z błędnej optymalizacji in-place wprowadzonej w 2017 roku. W skrócie: podczas operacji kryptograficznych jądro nadpisuje cztery kontrolowane bajty poza dozwolonym obszarem, trafiając bezpośrednio do pamięci podręcznej stron plików (page cache). Atakujący może wykorzystać to do modyfikacji w pamięci plików setuid, takich jak /usr/bin/su czy sudo, bez zmiany plików na dysku.
Szczególnie niepokojąca jest charakterystyka exploita: jest deterministyczny, nie wymaga wygrania wyścigu ani znajomości offsetów jądra. Jak zaznaczono w raporcie, „pojedynczy 732-bajtowy skrypt w Pythonie może go z powodzeniem wykorzystać bez żadnych modyfikacji na różnych dystrybucjach Linuxa”. Dotyczy to jąder od wersji 4.14 do 6.19.12, czyli praktycznie wszystkich systemów wydanych od 2017 roku.
Dirty Frag – kolejna podatność w mechanizmie zero-copy
Zaledwie kilka dni po Copy Fail, na początku maja 2026 roku, pojawiła się informacja o kolejnej luce LPE – Dirty Frag. Jak opisano na portalu Sekurak, podatność ta również pozwala na uzyskanie uprawnień roota i również omija mechanizm Copy-on-Write. Exploit łączy funkcję splice() (zero-copy) z kryptografią in-place w modułach ESP lub RxRPC, co umożliwia nadpisywanie plików systemowych bezpośrednio w pamięci RAM.
Według informacji z Sekuraka, podatność została potwierdzona w wielu nowoczesnych dystrybucjach, w tym Ubuntu 24.04.4, RHEL 10.1, openSUSE Tumbleweed, CentOS Stream 10, AlmaLinux 10 oraz Fedorze 44. Co istotne, embargo informacyjne trwało zaledwie pięć dni i zostało złamane po zmergowaniu patcha do netdev. Jak czytamy w artykule: „responsible disclosure nie żyje i nic nie wskazuje na to, że sytuacja miałaby się poprawić”.
W przypadku Dirty Frag doraźnym rozwiązaniem jest wyłączenie podatnych modułów jądra: esp4, esp6 oraz rxrpc. Należy jednak pamiętać, że blokada tych modułów wyłączy obsługę IPSec w jądrze, co może wpłynąć na działanie sieci VPN i innych mechanizmów szyfrowania.
Skala zagrożenia i wpływ na infrastrukturę
Obie podatności mają charakter lokalny (LPE), co oznacza, że atakujący musi mieć już dostęp do systemu – na przykład poprzez zdalne wykonanie kodu, skompromitowane konto użytkownika lub kontener. Jednak w środowiskach wielodostępnych, chmurowych i Kubernetes, gdzie współdzielone jest jądro, ryzyko jest znacznie wyższe. Jak wskazują badacze Unit 42, Copy Fail pozwala na łatwe „wymknięcie się z kontenerów Kubernetes, przejęcie hostów wielodostępnych i kompromitację potoków CI/CD”.
Dodatkowym problemem jest fakt, że exploit Copy Fail został już dodany do listy CISA, co oznacza, że amerykańska agencja ds. cyberbezpieczeństwa uznaje go za aktywnie wykorzystywany przez atakujących. Administratorzy powinni traktować tę lukę jako krytyczną i priorytetową do łatania.
Jak się bronić? Praktyczne kroki dla administratorów
W przypadku obu podatności najważniejsze jest jak najszybsze zastosowanie oficjalnych łatek jądra od dostawcy dystrybucji. Jeśli nie jest to natychmiast możliwe, należy wdrożyć tymczasowe mitygacje.
Dla Copy Fail (CVE-2026-31431):
- Zablokuj moduł algif_aead poleceniem (wymagane uprawnienia root):
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead - Po zastosowaniu łatki przywróć moduł i zrestartuj system.
Dla Dirty Frag:
- Wyłącz moduły esp4, esp6 oraz rxrpc poleceniem:
sh -c "printf 'install esp4 /bin/falseninstall esp6 /bin/falseninstall rxrpc /bin/falsen' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true" - Pamiętaj, że ta mitygacja wyłączy obsługę IPSec.
Niezależnie od wybranej metody, po opublikowaniu oficjalnych łatek należy je bezzwłocznie zainstalować. W przypadku systemów produkcyjnych warto rozważyć wdrożenie narzędzi do monitorowania integralności plików (np. AIDE, Tripwire) oraz systemów wykrywania włamań (IDS), które mogą pomóc w identyfikacji nietypowych modyfikacji w pamięci.
Co dalej? Wysyp podobnych podatności
Jak zauważają eksperci z Sekuraka, obserwujemy obecnie wysyp podatności LPE w jądrze Linuxa. „Badacze zapoznali się z mechanizmami, które doprowadziły do powstania podatności takich jak Copy Fail i starają się przełożyć podobny sposób myślenia na inne elementy kernela”. Oznacza to, że w najbliższej przyszłości możemy spodziewać się kolejnych luk wykorzystujących podobne wzorce. Co więcej, narzędzia AI coraz lepiej radzą sobie z analizą powtarzających się błędów, co może przyspieszyć zarówno odkrywanie podatności przez badaczy, jak i tworzenie exploitów przez atakujących.
Dla administratorów i zespołów ds. bezpieczeństwa oznacza to konieczność jeszcze szybszego reagowania na nowe informacje o podatnościach oraz utrzymywania dyscypliny w procesie zarządzania łatami. Warto również śledzić oficjalne biuletyny bezpieczeństwa dystrybucji oraz komunikaty CISA.
Podsumowując: Copy Fail i Dirty Frag to dwie poważne luki, które wymagają natychmiastowej uwagi. Niezastosowanie poprawek może prowadzić do przejęcia kontroli nad systemem, nawet przez atakującego z ograniczonymi uprawnieniami. Działajcie szybko, ale z rozwagą – testujcie łatki w środowisku stagingowym przed wdrożeniem na produkcję.
