- De CopyFail-kwetsbaarheid stelt gebruikers zonder beheerdersrechten in staat om via een logische fout in het cryptografische subsysteem root-toegang te verkrijgen.
- De kwetsbaarheid CVE-2026-31431 trof een groot aantal kernels uit de periode 2017 tot 2026.
- Het HFS-bestandssysteem kent extra risico's die kunnen leiden tot een volledige systeemcrash of het uitvoeren van ongewenste code.
Als we aan Linux denken, is het eerste wat in ons opkomt dat het een robuust en extreem veerkrachtig systeem is . Het is inderdaad de ruggengraat van een groot deel van de internetinfrastructuur en van enkele van 's werelds krachtigste servers, maar dat betekent niet dat het een ondoordringbare bunker is. Recente kwetsbaarheden herinneren ons er juist aan dat zelfs de meest grondig gecontroleerde software gevaarlijke zwakke punten kan bevatten, waardoor we geavanceerde beveiligingsmaatregelen in Linux moeten zoeken om onze systemen te beschermen.
Een van de meest opvallende gevallen is de zogenaamde CopyFail-kwetsbaarheid, een probleem dat niet zomaar een typefout in een applicatie is, maar zich in de kernel bevindt . Dit is zorgwekkend omdat het iemand met zeer beperkte toegang in staat stelt om in feite de controle over het systeem over te nemen en de computer volledig te beheersen.
Het CopyFail-raadsel: CVE-2026-31431
Deze kwetsbaarheid, officieel aangeduid als CVE-2026-31431, is een zogenaamde sequentiële flowlogicafout . Voor degenen onder ons die niet bekend zijn met technische termen: dit betekent dat het probleem niet te wijten is aan willekeurige geheugen- of timingfouten, maar aan een fout in de manier waarop de code is geschreven. Het probleem zit specifiek in de `authencesn`-component van de kernel , die toegankelijk is via de cryptografische socketinterface AF_ALG en de systeemfunctie `splice()`.
Wat experts sprakeloos maakt, is dat deze kwetsbaarheid van 2017 tot 2026 onopgemerkt is gebleven. Bijna tien jaar lang werd de kwetsbaarheid niet opgemerkt tijdens routinematige beveiligingsaudits, waardoor het probleem op miljoenen apparaten kon blijven bestaan. De exploit die door onderzoekers van Theori is ontwikkeld, is verrassend eenvoudig: een Python-script van slechts 732 bytes dat alleen de standaardbibliotheek gebruikt , waardoor het juist door zijn gebruiksgemak extreem gevaarlijk is.
In tegenstelling tot andere exploits waarbij de aanvaller ongelooflijk veel geluk moet hebben met racecondities of de exacte kernel-offsets moet kennen, is CopyFail stabiel exploiteerbaar . Dit betekent dat elke lokale gebruiker, via een normaal account, een gecompromitteerde container of een CI/CD-proces, een schrijfbewerking van 4 bytes naar de kernelpagina-cache kan uitvoeren om op Linux zonder enige moeite root- rechten te verkrijgen .
Betrokken systemen en omvang van het probleem
De impact is systemisch en enorm. Er zijn getroffen systemen geïdentificeerd in een zeer lange lijst van populaire distributies. Deze omvatten Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 en SUSE 16 , maar de lijst strekt zich uit tot Debian, Fedora, Arch, Rocky en Oracle Linux. In principe loopt elk systeem dat kernels gebruikt die gecompileerd zijn tussen 2017 en april 2026 risico, inclusief versies van 4.14 tot en met 6.18.22.
Het is belangrijk te benadrukken dat de aanvalsvector lokaal is. Dit betekent dat de aanvaller al toegang tot het systeem moet hebben, maar in cloudomgevingen met meerdere tenants of containers die dezelfde kernel delen, neemt het risico exponentieel toe. De eenvoud waarmee deze kwetsbaarheid kan worden misbruikt, maakt het een topprioriteit voor elke systeembeheerder.
Andere bedreigingen: Het geval van het HFS-bestandssysteem
Maar het gaat niet alleen om CopyFail. Er is ook een waarschuwing afgegeven voor CVE-2025-0927 , een kwetsbaarheid in het HFS-bestandssysteem van de Linux-kernel. In dit geval is het probleem onvoldoende validatie van invoer wanneer het systeem beschadigde structuren verwerkt. Als een aanvaller erin slaagt het systeem te dwingen een onjuist opgemaakte HFS-image te lezen, kan dit een geheugenoverwrite veroorzaken.
De gevolgen van deze tweede kwetsbaarheid kunnen variëren van een simpele denial-of-service (DoS)-aanval die het systeem onbruikbaar maakt, tot iets veel ernstigers zoals het uitvoeren van willekeurige code met verhoogde bevoegdheden. Dit probleem treft met name kernelversies tot en met 6.12.0 en specifieke installaties zoals Ubuntu 22.04 met kernel 6.5.0-18-generic.
Hoe kunt u uzelf beschermen en risico's beperken?
De ultieme oplossing is, zoals altijd, om uw software up-to-date te houden. Voor CopyFail is het cruciaal om de fix commit a664bf3d603d toe te passen of de kernel bij te werken naar de gepatchte versie die door uw distributie wordt aangeboden. In cloudomgevingen zoals AWS, Azure of GCP moet u prioriteit geven aan het installeren van patches zodra de provider ze uitbrengt, vooral op jump servers en in multi-tenant omgevingen.
Als u het systeem om welke reden dan ook niet direct opnieuw kunt opstarten, is er een truc om kwetsbaarheid te verminderenJe kunt de algif_aead-module uitschakelen door een bestand aan te maken in /etc/modprobe.d/blacklist-algif.conf met de lijn install algif_aead /bin/falseAls de module al actief is, hoeft u alleen maar het volgende commando uit te voeren: rmmod algif_aead om hem uit het gevecht te halen en de aanvaller buiten te sluiten zonder opnieuw te hoeven beginnen.
De ontdekking van CopyFail heeft ook de rol van kunstmatige intelligentie (AI) benadrukt. Het is bekend dat AI-gebaseerde analysetools cruciaal waren bij het blootleggen van deze kwetsbaarheid, die mensen negen jaar lang over het hoofd hadden gezien. Dit leert ons een wrange les: AI is een ongelooflijke bondgenoot voor verdedigers, maar het kan ook het perfecte wapen zijn voor aanvallers om in recordtijd vergelijkbare kwetsbaarheden te vinden.
