Przejdź do treści
Infrastruktura

Podatność „Copy Fail” w jądrze Linux pozwala zdobyć uprawnienia root. Trzeba zaktualizować systemy

CERT Polska ostrzega przed podatnością w systemach Linux, która umożliwia lokalnym użytkownikom eskalację uprawnień do poziomu administratora. Luka dotyczy praktycznie wszystkich dystrybucji wydanych po 2017 roku, a kod pozwalający na jej wykorzystanie jest publicznie dostępny.

3 min read
A fractured digital shield with a glowing red crack at its center, floating above a dark grid of interconnected server nodes, with subtle binary-like light particles drifting upward.

Zespół CERT Polska wydał ostrzeżenie dotyczące podatności w systemach Linux, która pozwala lokalnym użytkownikom na eskalację uprawnień do poziomu root. Luka, nazwana Copy Fail, występuje w praktycznie wszystkich dystrybucjach wydanych po 2017 roku. Publicznie udostępniony kod exploitacyjny czyni ryzyko wykorzystania luki w niezałatanych środowiskach wysokim.

Na czym polega podatność Copy Fail

Copy Fail to błąd w mechanizmie kopiowania danych między przestrzenią użytkownika a przestrzenią jądra, związany z obsługą socketów AF_ALG i modułu algif_aead. W uproszczeniu: nieprawidłowa walidacja długości bufora podczas operacji kopiowania umożliwia zapis poza przeznaczonym obszarem pamięci. Lokalny atakujący, który ma już dostęp do systemu – nawet z poziomu nieuprzywilejowanego konta – może wykorzystać tę lukę do podniesienia swoich uprawnień i przejęcia pełnej kontroli nad maszyną.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Szczegóły techniczne opisali badacze, którzy odkryli podatność. W swojej analizie wskazują oni, że problem dotyczy szerokiego zakresu kerneli – od wersji 4.14 wzwyż – i może być wyzwalany przez stosunkowo prosty kod. Na dedykowanej stronie umieszczono narzędzia weryfikujące, czy dany system jest podatny.

Kto jest najbardziej narażony

Podatność ma charakter lokalny – atakujący musi najpierw uzyskać dostęp do systemu. Nie umniejsza to jednak zagrożenia. W wielu środowiskach obecność nieuprzywilejowanych użytkowników jest codziennością. CERT Polska wymienia konkretne scenariusze, w których ryzyko jest szczególnie wysokie:

  • serwery współdzielone i środowiska multi-tenant, gdzie wielu klientów pracuje na jednej maszynie,
  • klastry Kubernetes i środowiska kontenerowe, w których kontenery współdzielą jądro hosta,
  • CI runnery i platformy chmurowe uruchamiające kod użytkownika,
  • usługi SaaS, które wykonują niezaufany kod dostarczany przez klientów.

W każdym z tych przypadków eskalacja uprawnień z poziomu kontenera lub ograniczonego konta do root na hoście może oznaczać wyciek danych innych użytkowników, przejęcie całego środowiska lub ruch boczny w sieci wewnętrznej.

Jak się zabezpieczyć

Docelowym rozwiązaniem jest aktualizacja jądra Linux do wersji zawierającej poprawkę. Administratorzy powinni niezwłocznie sprawdzić dostępność łatki dla używanej dystrybucji i zaplanować wdrożenie. Dystrybucje takie jak Ubuntu, Debian, Red Hat Enterprise Linux, Fedora, SUSE i inne wydały już lub przygotowują odpowiednie pakiety.

Jeśli natychmiastowa aktualizacja nie jest możliwa, CERT Polska rekomenduje dwa tymczasowe obejścia. Pierwsze polega na zablokowaniu tworzenia socketów AF_ALG przy użyciu mechanizmu seccomp. Drugie – na wyłączeniu modułu jądra algif_aead. Oba działania ograniczają funkcjonalność związaną z kryptograficznymi operacjami w jądrze, dlatego należy je traktować jako rozwiązania przejściowe. W środowiskach kontenerowych warto również zweryfikować, czy profile bezpieczeństwa (AppArmor, SELinux) odpowiednio ograniczają dostęp do niebezpiecznych wywołań systemowych.

Co obserwować dalej

Publiczna dostępność kodu exploitacyjnego oznacza, że próby wykorzystania luki mogą pojawić się szybko – zarówno w atakach celowanych, jak i w zautomatyzowanych kampaniach. Administratorzy powinni monitorować logi systemowe pod kątem nietypowych prób eskalacji uprawnień oraz rozważyć wdrożenie reguł detekcji w systemach SIEM. CERT Polska prosi o zgłaszanie wszelkich incydentów, które mogą mieć związek z tą podatnością.

Z doświadczeń branży wynika, że lokalne podatności eskalacji uprawnień w jądrze Linux potrafią pozostawać niezałatane w środowiskach produkcyjnych przez długie miesiące. Copy Fail nie jest wyjątkiem – jego siła rażenia zależy dziś wyłącznie od tempa, w jakim administratorzy zdecydują się na wdrożenie poprawek.

#bezpieczeństwo IT #CERT Polska #eskalacja uprawnień #jądro systemu #Linux #podatność
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Photorealistic image of a worried man looking at his smartphone on a Berlin street, with subtle surveillance cameras in the background, natural daylight, depth of field, 16:9, photojournalistic style, slight grain, no text or logos. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

Niemcy będą gromadzić adresy IP przez 3 miesiące. Co to znaczy dla Twojej prywatności?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: młoda kobieta około 30 lat, siedzi przy stole w polskim mieszkaniu, trzyma smartfona w dłoni, twarz zaniepokojona, patrzy na ekran telefonu (widok od tyłu telefonu, bez widocznego interfejsu). Na stole leży portfel i karta płatnicza (bez widocznych napisów). Naturalne światło dzienne wpadające przez okno. Głębia ostrości: twarz i telefon ostre, tło lekko rozmyte. Kadr 16:9, zbliżenie na twarz i dłonie. Styl jak zdjęcie reporterskie z Getty Images, lekki szum, wysoki kontrast. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

75 milionów rekordów Revolut na czarnym rynku. Czy twoje dane są bezpieczne?

28 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe: młoda kobieta trzyma w dłoni banknot 20 euro, patrzy na niego z zaskoczeniem i uśmiechem. Naturalne światło dzienne, wnętrze mieszkania, na stole leżą inne banknoty i monety. Niewyraźny fragment banknotu (bez czytelnych napisów), twarz kobiety wyraża dumę i ciekawość. Kadr zbliżony, głębia ostrości, lekki szum. Styl Getty Images. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Infrastruktura

Nowy banknot euro z Polką? EBC pokazał projekt. Skłodowska-Curie na 20 euro

27 lipca, 2026 3 min read