- Luka CopyFail umożliwia nieuprawnionym użytkownikom eskalację ataku w celu odkrycia błędu logicznego w podsystemie kryptograficznym.
- Luka CVE-2026-31431 dotyczyła wielu jąder w latach 2017–2026.
- W systemie plików HFS istnieją dodatkowe zagrożenia, które mogą spowodować całkowitą awarię systemu lub wykonanie kodu.
Kiedy myślimy o Linuksie, pierwszą rzeczą, jaka przychodzi nam na myśl, jest to, że jest to solidny i niezwykle odporny system . To prawda, że stanowi on podstawę znacznej części infrastruktury internetowej i jednych z najpotężniejszych serwerów na świecie, ale to nie znaczy, że jest to schron nie do przebicia. W rzeczywistości, ostatnie luki w zabezpieczeniach przypominają nam, że nawet najdokładniej sprawdzone oprogramowanie może mieć niebezpieczne słabości, zmuszając nas do poszukiwania zaawansowanych środków bezpieczeństwa w Linuksie, aby chronić nasze systemy.
Jednym z najbardziej uderzających przypadków jest tak zwana luka bezpieczeństwa CopyFail, problem, który nie jest zwykłą literówką w dowolnej aplikacji, lecz leży w samym sercu jądra . Jest to niepokojące, ponieważ pozwala osobie o bardzo ograniczonym dostępie przejąć kontrolę nad systemem i uzyskać pełną kontrolę nad komputerem.
Zagadka CopyFail: CVE-2026-31431
Ta luka, technicznie zidentyfikowana jako CVE-2026-31431, to tzw. luka w logice sekwencyjnego przepływu . Dla tych z nas, którzy nie znają żargonu technicznego, oznacza to, że nie jest ona zależna od losowych błędów pamięci lub synchronizacji, ale raczej od błędu w sposobie pisania kodu. Problem leży konkretnie w komponencie `authencesn` jądra , do którego dostęp jest możliwy poprzez interfejs gniazda kryptograficznego AF_ALG oraz funkcję systemową `splice()`.
Eksperci są zdumieni faktem, że luka ta czaiła się w ukryciu od 2017 roku aż do wykrycia w 2026 roku. Przez prawie dekadę rutynowe audyty bezpieczeństwa nie wykryły jej, co pozwoliło na jej przetrwanie na milionach urządzeń. Exploit opracowany przez badaczy z Theori jest zaskakująco prosty: skrypt w Pythonie o rozmiarze zaledwie 732 bajtów, który wykorzystuje wyłącznie bibliotekę standardową , co czyni go niezwykle niebezpiecznym ze względu na łatwość użycia.
W przeciwieństwie do innych exploitów, które wymagają od atakującego niesamowitego szczęścia w sytuacjach wyścigu lub dokładnej znajomości przesunięć jądra, CopyFail jest stabilnie podatny na eksploatację . Oznacza to, że każdy użytkownik lokalny, niezależnie od tego, czy korzysta ze zwykłego konta, z zainfekowanego kontenera, czy z procesu CI/CD, może wykonać 4-bajtowy zapis do pamięci podręcznej stron jądra, aby bez problemu uzyskać uprawnienia roota w systemie Linux .
Dotknięte systemy i zakres problemu
Wpływ jest systemowy i ogromny. Dotknięte systemy zostały zidentyfikowane w bardzo długiej liście popularnych dystrybucji. Należą do nich Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 i SUSE 16 , choć lista obejmuje również Debian, Fedorę, Arch, Rocky i Oracle Linux. Zasadniczo zagrożony jest każdy system korzystający z kerneli skompilowanych między 2017 a kwietniem 2026 roku, w tym wersje od 4.14 do 6.18.22.
Należy podkreślić, że wektor ataku ma charakter lokalny. Oznacza to, że atakujący musi mieć już pewien dostęp do systemu, ale w środowiskach chmurowych z wieloma dzierżawcami lub kontenerami współdzielącymi to samo jądro ryzyko się mnoży. Łatwość, z jaką można wykorzystać tę lukę, sprawia, że jest ona priorytetem dla każdego administratora systemu.
Inne zagrożenia: Przypadek systemu plików HFS
Ale CopyFail to nie wszystko. Pojawił się również alert dotyczący luki CVE-2025-0927 , odkrytej w systemie plików HFS jądra Linuksa. W tym przypadku problemem jest niewystarczająca walidacja danych wejściowych podczas przetwarzania uszkodzonych struktur przez system. Jeśli atakującemu uda się zmusić system do odczytania nieprawidłowo sformatowanego obrazu HFS, może to spowodować nadpisanie pamięci.
Konsekwencje tej drugiej luki mogą obejmować zarówno prosty atak typu „odmowa usługi” (DoS) , który powoduje awarię systemu, jak i coś znacznie poważniejszego, na przykład wykonanie dowolnego kodu z podwyższonymi uprawnieniami. Problem ten dotyczy w szczególności wersji jądra do 6.12.0 oraz konkretnych instalacji, takich jak Ubuntu 22.04 z jądrem 6.5.0-18-generic.
Jak się chronić i ograniczać ryzyko?
Najlepszym rozwiązaniem, jak zawsze, jest aktualizowanie oprogramowania. W przypadku CopyFail kluczowe jest zastosowanie commita poprawki a664bf3d603d lub zaktualizowanie jądra do wersji z poprawkami dostarczonej przez dystrybucję. W środowiskach chmurowych, takich jak AWS, Azure czy GCP, należy priorytetowo traktować instalację poprawek, gdy tylko dostawca je udostępni, szczególnie na serwerach przesiadkowych i w środowiskach wielodostępnych.
Jeżeli z jakiegoś powodu nie możesz natychmiast ponownie uruchomić systemu, istnieje sztuczka łagodząca podatnośćMożesz wyłączyć moduł algif_aead, tworząc plik w /etc/modprobe.d/blacklist-algif.conf z linią install algif_aead /bin/falseJeśli moduł jest już aktywny, wystarczy go uruchomić rmmod algif_aead aby wyeliminować go z walki i zamknąć drzwi przed atakującym, bez konieczności ponownego rozpoczynania walki.
Odkrycie CopyFail podkreśliło również rolę sztucznej inteligencji. Wiadomo, że narzędzia analityczne oparte na sztucznej inteligencji odegrały kluczową rolę w odkryciu tej luki, którą ludzie ignorowali przez dziewięć lat. To uczy nas słodko-gorzkiej lekcji: sztuczna inteligencja jest nieocenionym sojusznikiem dla obrońców, ale może być również idealną bronią dla atakujących, pozwalającą na znalezienie podobnych luk w rekordowo krótkim czasie.
