- Die CopyFail-Schwachstelle ermöglicht es Benutzern ohne Administratorrechte, durch einen logischen Fehler im kryptografischen Subsystem Root-Rechte zu erlangen.
- Die Sicherheitslücke CVE-2026-31431 betraf eine Vielzahl von Kerneln aus den Jahren 2017 bis 2026.
- Im HFS-Dateisystem bestehen zusätzliche Risiken, die einen vollständigen Systemabsturz oder die Ausführung von Schadcode verursachen können.
Wenn wir an Linux denken, kommt uns als Erstes in den Sinn, dass es ein robustes und extrem widerstandsfähiges System ist . Es stimmt, dass es das Rückgrat eines Großteils der Internetinfrastruktur und einiger der leistungsstärksten Server der Welt bildet, aber das bedeutet nicht, dass es ein undurchdringlicher Bunker ist. Tatsächlich erinnern uns aktuelle Sicherheitslücken daran, dass selbst sorgfältig geprüfte Software gefährliche Schwachstellen aufweisen kann. Daher sind wir gezwungen, in Linux nach fortschrittlichen Sicherheitsmaßnahmen zu suchen , um unsere Systeme zu schützen.
Einer der gravierendsten Fälle ist die sogenannte CopyFail-Schwachstelle. Dabei handelt es sich nicht um einen einfachen Tippfehler in einer Anwendung, sondern um ein Problem, das im Kernel selbst liegt . Dies ist besorgniserregend, da es jemandem mit sehr eingeschränkten Zugriffsrechten ermöglicht, die Kontrolle über das System zu übernehmen und den Computer vollständig zu kapern.
Das CopyFail-Rätsel: CVE-2026-31431
Diese Schwachstelle, technisch als CVE-2026-31431 identifiziert, ist ein sogenannter Fehler in der sequenziellen Ablauflogik . Vereinfacht ausgedrückt bedeutet dies, dass sie nicht auf zufälligen Speicher- oder Timingfehlern beruht, sondern auf einem Fehler in der Code-Implementierung. Das Problem liegt konkret in der Kernel-Komponente `authencesn` , die über die kryptografische Socket-Schnittstelle AF_ALG und die Systemfunktion `splice()` zugänglich ist.
Experten sind fassungslos, weil diese Sicherheitslücke von 2017 bis zu ihrer Entdeckung im Jahr 2026 unbemerkt blieb. Fast ein Jahrzehnt lang wurde sie bei routinemäßigen Sicherheitsüberprüfungen nicht erkannt, sodass der Fehler auf Millionen von Geräten fortbestand. Der von den Theori-Forschern entwickelte Exploit ist überraschend simpel: ein nur 732 Byte großes Python-Skript, das ausschließlich die Standardbibliothek nutzt und daher aufgrund seiner einfachen Handhabung extrem gefährlich ist.
Im Gegensatz zu anderen Exploits, die vom Angreifer unglaubliches Glück bei Race Conditions oder die Kenntnis exakter Kernel-Offsets erfordern, ist CopyFail stabil ausnutzbar . Das bedeutet, dass jeder lokale Benutzer, ob über ein normales Benutzerkonto, einen kompromittierten Container oder einen CI/CD-Prozess, einen 4-Byte-Schreibvorgang im Kernel-Seitencache durchführen kann, um unter Linux mühelos Root -Rechte zu erlangen .
Betroffene Systeme und Umfang des Problems
Die Auswirkungen sind systemweit und massiv. Betroffene Systeme wurden in einer sehr langen Liste gängiger Linux-Distributionen identifiziert. Dazu gehören Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 und SUSE 16 , aber auch Debian, Fedora, Arch, Rocky und Oracle Linux. Im Prinzip ist jedes System gefährdet, das Kernel verwendet, die zwischen 2017 und April 2026 kompiliert wurden, einschließlich der Versionen 4.14 bis 6.18.22.
Es ist wichtig zu betonen, dass der Angriffsvektor lokal ist. Das bedeutet, der Angreifer muss bereits Zugriff auf das System haben. In Cloud-Umgebungen mit mehreren Mandanten oder Containern , die denselben Kernel nutzen, vervielfacht sich das Risiko jedoch. Die Leichtigkeit, mit der diese Schwachstelle ausgenutzt werden kann, macht sie zu einer Priorität für jeden Systemadministrator.
Weitere Bedrohungen: Der Fall des HFS-Dateisystems
Doch es geht nicht nur um CopyFail. Es wurde auch eine Warnung bezüglich CVE-2025-0927 herausgegeben , einer Schwachstelle im HFS-Dateisystem des Linux-Kernels. In diesem Fall liegt das Problem in der unzureichenden Validierung von Eingaben bei der Verarbeitung beschädigter Strukturen. Gelingt es einem Angreifer, das System zum Lesen eines fehlerhaften HFS-Abbilds zu zwingen, kann dies zu einem Überschreiben des Speichers führen.
Die Folgen dieser zweiten Sicherheitslücke reichen von einem einfachen Denial-of-Service-Angriff (DoS) , der das System lahmlegt, bis hin zu weitaus schwerwiegenderen Problemen wie der Ausführung beliebigen Codes mit erhöhten Berechtigungen. Besonders betroffen sind Kernel-Versionen bis einschließlich 6.12.0 sowie bestimmte Installationen wie Ubuntu 22.04 mit Kernel 6.5.0-18-generic.
Wie kann man sich schützen und Risiken minimieren?
Die beste Lösung ist wie immer, Ihre Software auf dem neuesten Stand zu halten. Für CopyFail ist es entscheidend, den Fix-Commit a664bf3d603d anzuwenden oder den Kernel auf die von Ihrer Distribution bereitgestellte gepatchte Version zu aktualisieren. In Cloud-Umgebungen wie AWS, Azure oder GCP sollten Sie die Installation von Patches priorisieren, sobald der Anbieter sie veröffentlicht, insbesondere auf Jump-Servern und in Multi-Tenant-Umgebungen.
Falls Sie das System aus irgendeinem Grund nicht sofort neu starten können, gibt es eine Trick zur Minderung der SchwachstelleSie können das Modul algif_aead deaktivieren, indem Sie eine Datei erstellen in /etc/modprobe.d/blacklist-algif.conf mit der Linie install algif_aead /bin/falseWenn das Modul bereits aktiv ist, führen Sie einfach Folgendes aus: rmmod algif_aead Ihn aus dem Kampf zu nehmen und dem Angreifer die Tür vor der Nase zuzuschlagen, ohne von vorne anfangen zu müssen.
Die Entdeckung von CopyFail hat auch die Rolle der Künstlichen Intelligenz (KI) verdeutlicht. Es ist bekannt, dass KI-basierte Analysetools maßgeblich zur Aufdeckung dieser Sicherheitslücke beigetragen haben, die Menschen neun Jahre lang übersehen hatten. Dies lehrt uns eine bittersüße Lektion: KI ist ein unglaublich wertvoller Verbündeter für die IT-Sicherheit, kann aber auch die perfekte Waffe für Angreifer sein , um ähnliche Schwachstellen in Rekordzeit zu finden.
