- CopyFail-sårbarheden gør det muligt for ikke-privilegerede brugere at eskalere til root via en logisk fejl i det kryptografiske undersystem.
- Sårbarheden CVE-2026-31431 påvirkede en bred vifte af kerner fra 2017 til 2026.
- Der er yderligere risici i HFS-filsystemet, som kan forårsage et totalt systemnedbrud eller kodeudførelse.
Når vi tænker på Linux, er det første, der falder os ind, at det er et robust og ekstremt modstandsdygtigt system . Det er sandt, at det er rygraden i en stor del af internetinfrastrukturen og nogle af verdens mest kraftfulde servere, men det betyder ikke, at det er en uigennemtrængelig bunker. Faktisk minder nylige sårbarheder os om, at selv den mest grundigt gennemgåede software kan have farlige svagheder, hvilket tvinger os til at søge avancerede sikkerhedsforanstaltninger i Linux for at beskytte vores systemer.
Et af de mest slående tilfælde er den såkaldte CopyFail-sårbarhed, et problem, der ikke er en simpel tastefejl i nogen applikation, men snarere ligger i selve kernen af kernen . Dette er bekymrende, fordi det giver en person med meget begrænset adgang mulighed for i bund og grund at tage kontrol over systemet og opnå fuld kontrol over computeren.
CopyFail-gåden: CVE-2026-31431
Denne sårbarhed, teknisk identificeret som CVE-2026-31431, er det, der er kendt som en sekventiel flowlogikfejl . For dem af os, der ikke taler teknisk jargon, betyder det, at det ikke afhænger af tilfældige hukommelses- eller timingfejl, men snarere af en fejl i den måde, koden er skrevet på. Problemet ligger specifikt i kernens `authencesn`- komponent , som er tilgængelig via AF_ALG-kryptografiske socket-grænsefladen og `splice()`-systemfunktionen.
Det, der efterlader eksperter målløse, er, at denne sårbarhed lurede i stilhed fra 2017, indtil den blev opdaget i 2026. I næsten et årti mislykkedes rutinemæssige sikkerhedsrevisioner med at opdage den, hvilket tillod fejlen at fortsætte på millioner af enheder. Angrebet, der er udviklet af Theori-forskere, er overraskende simpelt: et Python-script på kun 732 bytes, der kun bruger standardbiblioteket , hvilket gør det ekstremt farligt på grund af dets brugervenlighed.
I modsætning til andre exploits, der kræver, at angriberen har utrolig held med race conditions eller kender præcise kernel offsets, er CopyFail stabilt udnyttelig . Det betyder, at enhver lokal bruger, uanset om det er via en normal konto, en kompromitteret container eller en CI/CD-proces, kan udføre en 4-byte skrivning til kernel-sidecachen for at eskalere privilegier til root på Linux uden problemer.
Berørte systemer og problemets omfang
Virkningen er systemisk og massiv. Berørte systemer er blevet identificeret på tværs af en meget lang liste af populære distributioner. Disse inkluderer Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 og SUSE 16 , selvom listen strækker sig til Debian, Fedora, Arch, Rocky og Oracle Linux. Grundlæggende set er ethvert system, der bruger kerner kompileret mellem 2017 og april 2026, i fare, omfattende versioner fra 4.14 til 6.18.22.
Det er vigtigt at understrege, at angrebsvektoren er lokal. Det betyder, at angriberen allerede skal have en vis adgang til systemet, men i cloud-miljøer med flere lejere eller containere, der deler den samme kerne, mangedobles risikoen. Den lethed, hvormed denne sårbarhed kan udnyttes, gør den til en topprioritet for enhver systemadministrator.
Andre trusler: Sagen med HFS-filsystemet
Men det handler ikke kun om CopyFail. Der er også blevet udsendt en advarsel vedrørende CVE-2025-0927 , en sårbarhed fundet i Linux-kernens HFS-filsystem. I dette tilfælde er problemet utilstrækkelig validering af input, når systemet behandler beskadigede strukturer. Hvis en angriber formår at tvinge systemet til at læse et misdannet HFS-billede, kan det forårsage en hukommelsesoverskrivning.
Konsekvenserne af denne anden sårbarhed kan variere fra et simpelt denial-of-service (DoS)-angreb , der efterlader systemet uresponsivt, til noget langt mere alvorligt, såsom udførelse af vilkårlig kode med forhøjede rettigheder. Dette problem påvirker især kernelversioner op til 6.12.0 og specifikke installationer såsom Ubuntu 22.04 med kernel 6.5.0-18-generic.
Hvordan beskytter du dig selv og mindsker risici?
Den ultimative løsning er som altid at holde din software opdateret. For CopyFail er det afgørende at anvende rettelsen commit a664bf3d603d eller opdatere kernen til den patchede version, der leveres af din distribution. I cloud-miljøer som AWS, Azure eller GCP bør du prioritere installation af patches, så snart udbyderen udgiver dem, især på jump-servere og multi-tenant-miljøer.
Hvis du af en eller anden grund ikke kan genstarte systemet med det samme, er der en trick til at mindske sårbarhedDu kan deaktivere algif_aead-modulet ved at oprette en fil i /etc/modprobe.d/blacklist-algif.conf med linjen install algif_aead /bin/falseHvis modulet allerede er aktivt, skal du blot køre rmmod algif_aead at slå ham ud af kampen og lukke døren for angriberen uden at skulle genstarte.
Opdagelsen af CopyFail har også fremhævet den rolle, som kunstig intelligens spiller. Det er kendt, at AI-baserede analyseværktøjer var afgørende for at afdække denne sårbarhed, som mennesker havde overset i ni år. Dette lærer os en bittersød lektie: AI er en utrolig allieret for forsvarere, men det kan også være det perfekte våben for angribere til at finde lignende sårbarheder på rekordtid.
