- Zranitelnost CopyFail umožňuje neoprávněným uživatelům eskalovat na root přístup prostřednictvím logické chyby v kryptografickém subsystému.
- Zranitelnost CVE-2026-31431 ovlivnila v letech 2017 až 2026 širokou škálu jader.
- V souborovém systému HFS existují další rizika, která mohou způsobit úplné selhání systému nebo spuštění kódu.
Když se řekne Linux, první věc, která nás napadne, je, že je to robustní a extrémně odolný systém . Je pravda, že je páteří velké části internetové infrastruktury a některých z nejvýkonnějších serverů na světě, ale to neznamená, že je to neproniknutelný bunkr. Nedávné zranitelnosti nám ve skutečnosti připomínají, že i ten nejdůkladněji prověřený software může mít nebezpečné slabiny, které nás nutí hledat v Linuxu pokročilá bezpečnostní opatření k ochraně našich systémů.
Jedním z nejvýraznějších případů je tzv. zranitelnost CopyFail, problém, který není jen překlepem v jakékoli aplikaci, ale leží v samotném srdci jádra . To je znepokojivé, protože umožňuje někomu s velmi omezeným přístupem v podstatě převzít kontrolu nad systémem a získat úplnou kontrolu nad počítačem.
Záhada CopyFail: CVE-2026-31431
Tato zranitelnost, technicky označená jako CVE-2026-31431, je známá jako chyba sekvenční logiky toku . Pro ty z nás, kteří neumí technický žargon, to znamená, že nezávisí na náhodných chybách paměti nebo časování, ale spíše na chybě ve způsobu, jakým je kód napsán. Problém spočívá konkrétně v komponentě jádra `authencesn` , která je přístupná prostřednictvím kryptografického socketového rozhraní AF_ALG a systémové funkce `splice()`.
Odborníky ohromuje fakt, že tato zranitelnost se tiše skrývala od roku 2017 až do svého odhalení v roce 2026. Po téměř deset let ji rutinní bezpečnostní audity nedokázaly odhalit, což umožnilo chybě přetrvávat na milionech zařízení. Zranitelnost vyvinutá výzkumníky z Theori je překvapivě jednoduchá: skript v Pythonu o velikosti pouhých 732 bajtů, který používá pouze standardní knihovnu , což ho činí extrémně nebezpečným kvůli jeho snadnému použití.
Na rozdíl od jiných exploitů, které vyžadují, aby útočník měl neuvěřitelné štěstí s rasovými podmínkami nebo znal přesné offsety jádra, je CopyFail stabilně zneužitelný . To znamená, že jakýkoli lokální uživatel, ať už prostřednictvím běžného účtu, kompromitovaného kontejneru nebo procesu CI/CD, může provést 4bajtový zápis do mezipaměti stránek jádra a eskalovat tak oprávnění na root v Linuxu, aniž by se musel namáhat.
Dotčené systémy a rozsah problému
Dopad je systémový a masivní. Dotčené systémy byly identifikovány napříč velmi dlouhým seznamem populárních distribucí. Patří mezi ně Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 a SUSE 16 , ačkoli seznam se rozšiřuje i na Debian, Fedoru, Arch, Rocky a Oracle Linux. V podstatě je ohrožen jakýkoli systém používající jádra kompilovaná mezi lety 2017 a dubnem 2026, včetně verzí od 4.14 do 6.18.22.
Je důležité zdůraznit, že vektor útoku je lokální. To znamená, že útočník již musí mít nějaký přístup k systému, ale v cloudových prostředích s více tenanty nebo kontejnery sdílejícími stejné jádro se riziko násobí. Snadnost, s jakou lze tuto zranitelnost zneužít, z ní činí nejvyšší prioritu pro každého správce systému.
Další hrozby: Případ souborového systému HFS
Ale nejde jen o CopyFail. Bylo také vydáno upozornění ohledně CVE-2025-0927 , zranitelnosti nalezené v souborovém systému HFS linuxového jádra. V tomto případě je problémem nedostatečné ověření vstupů při zpracování poškozených struktur systémem. Pokud se útočníkovi podaří donutit systém číst poškozený obraz HFS, mohlo by to způsobit přepsání paměti.
Důsledky této druhé zranitelnosti se mohou pohybovat od jednoduchého útoku typu denial-of-service (DoS) , který systém nechá nereagovat, až po něco mnohem závažnějšího, jako je spuštění libovolného kódu se zvýšenými oprávněními. Tento problém postihuje zejména verze jádra do verze 6.12.0 a specifické instalace, jako je Ubuntu 22.04 s jádrem 6.5.0-18-generic.
Jak se chránit a zmírnit rizika?
Konečným řešením je, jako vždy, udržovat software aktuální. V případě CopyFail je zásadní použít opravu commit a664bf3d603d nebo aktualizovat jádro na opravenou verzi poskytovanou vaší distribucí. V cloudových prostředích, jako jsou AWS, Azure nebo GCP, byste měli upřednostnit instalaci oprav, jakmile je poskytovatel vydá, zejména na jump serverech a v prostředích s více klienty.
Pokud z nějakého důvodu nemůžete systém okamžitě restartovat, existuje trik ke zmírnění zranitelnostiModul algif_aead můžete zakázat vytvořením souboru v /etc/modprobe.d/blacklist-algif.conf s linkou install algif_aead /bin/falsePokud je modul již aktivní, jednoduše spusťte rmmod algif_aead vyřadit ho z boje a zavřít dveře před útočníkem bez nutnosti restartu.
Objev CopyFail také zdůraznil roli umělé inteligence. Je známo, že analytické nástroje založené na umělé inteligenci sehrály klíčovou roli při odhalení této zranitelnosti, kterou lidé devět let přehlíželi. Z toho máme hořkosladkou lekci: umělá inteligence je neuvěřitelným spojencem obránců, ale může být také perfektní zbraní pro útočníky, kteří dokáží najít podobné zranitelnosti v rekordním čase.
