- Уязвимость CopyFail позволяет непривилегированным пользователям получить права root через логическую ошибку в криптографической подсистеме.
- Уязвимость CVE-2026-31431 затронула широкий спектр ядер, выпущенных в период с 2017 по 2026 год.
- В файловой системе HFS существуют дополнительные риски, которые могут привести к полному сбою системы или выполнению кода.
Когда мы думаем о Linux, первое, что приходит на ум, это то, что это надежная и чрезвычайно отказоустойчивая система . Действительно, она является основой большей части интернет-инфраструктуры и некоторых из самых мощных серверов в мире, но это не значит, что это неприступный бункер. На самом деле, недавние уязвимости напоминают нам, что даже самое тщательно проверенное программное обеспечение может иметь опасные слабые места, заставляя нас искать передовые меры безопасности в Linux для защиты наших систем.
Один из наиболее ярких примеров — так называемая уязвимость CopyFail, проблема, которая представляет собой не простую опечатку в каком-либо приложении, а лежит в самом сердце ядра . Это вызывает беспокойство, поскольку позволяет злоумышленнику с очень ограниченным доступом фактически захватить контроль над системой и получить полный контроль над компьютером.
Загадка CopyFail: CVE-2026-31431
Эта уязвимость, технически обозначенная как CVE-2026-31431, представляет собой так называемую логическую ошибку последовательного потока . Для тех, кто не знаком с технической терминологией, это означает, что она не связана со случайными ошибками памяти или синхронизации, а скорее с недостатком в написании кода. Проблема заключается в компоненте `authencesn` ядра , доступ к которому осуществляется через криптографический интерфейс сокета AF_ALG и системную функцию `splice()`.
Экспертов поражает тот факт, что эта уязвимость незаметно существовала с 2017 года до момента её обнаружения в 2026 году. Почти десять лет стандартные проверки безопасности не могли её обнаружить, что позволяло уязвимости сохраняться на миллионах устройств. Эксплойт, разработанный исследователями Theori, удивительно прост: скрипт на Python размером всего 732 байта, использующий только стандартную библиотеку , что делает его чрезвычайно опасным из-за простоты использования.
В отличие от других эксплойтов, требующих от злоумышленника невероятной удачи в условиях гонки или знания точных смещений ядра, CopyFail является стабильно эксплуатируемым . Это означает, что любой локальный пользователь, будь то через обычную учетную запись, скомпрометированный контейнер или процесс CI/CD, может без труда выполнить запись 4-байтового файла в кэш страниц ядра для повышения привилегий до уровня root в Linux .
Затронутые системы и масштаб проблемы
Последствия носят системный и масштабный характер. Затронутые системы были выявлены в очень длинном списке популярных дистрибутивов. К ним относятся Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 и SUSE 16 , хотя список также включает Debian, Fedora, Arch, Rocky и Oracle Linux. По сути, любая система, использующая ядра, скомпилированные в период с 2017 года по апрель 2026 года, находится под угрозой, включая версии от 4.14 до 6.18.22.
Важно подчеркнуть, что вектор атаки локальный. Это означает, что злоумышленник должен уже иметь некоторый доступ к системе, но в облачных средах с множеством арендаторов или контейнеров, использующих одно и то же ядро, риск многократно возрастает. Легкость, с которой можно использовать эту уязвимость, делает ее первоочередной задачей для любого системного администратора.
Другие угрозы: случай файловой системы HFS.
Но дело не только в CopyFail. Также было выпущено предупреждение об уязвимости CVE-2025-0927 , обнаруженной в файловой системе HFS ядра Linux. В этом случае проблема заключается в недостаточной проверке входных данных при обработке системой поврежденных структур. Если злоумышленнику удастся заставить систему прочитать некорректный образ HFS, это может привести к перезаписи памяти.
Последствия этой второй уязвимости могут варьироваться от простой атаки типа «отказ в обслуживании» (DoS), в результате которой система перестает отвечать, до чего-то гораздо более серьезного, например, выполнения произвольного кода с повышенными привилегиями. Эта проблема особенно затрагивает версии ядра до 6.12.0 и определенные установки, такие как Ubuntu 22.04 с ядром 6.5.0-18-generic.
Как защитить себя и снизить риски?
Как всегда, оптимальное решение — поддерживать программное обеспечение в актуальном состоянии. Для CopyFail крайне важно применить исправление из коммита a664bf3d603d или обновить ядро до исправленной версии, предоставленной вашим дистрибутивом. В облачных средах, таких как AWS, Azure или GCP, следует отдавать приоритет установке исправлений сразу после их выпуска провайдером, особенно на промежуточных серверах и в многопользовательских средах.
Если по какой-либо причине вы не можете немедленно перезагрузить систему, существует... хитрость для снижения уязвимостиМодуль algif_aead можно отключить, создав файл в /etc/modprobe.d/blacklist-algif.conf с линией install algif_aead /bin/falseЕсли модуль уже активен, просто запустите его. rmmod algif_aead чтобы вывести его из боя и закрыть дверь перед нападающим, не начиная бой заново.
Обнаружение уязвимости CopyFail также подчеркнуло роль искусственного интеллекта. Известно, что инструменты анализа на основе ИИ сыграли решающую роль в выявлении этой уязвимости, которую люди игнорировали в течение девяти лет. Это преподносит нам горько-сладкий урок: ИИ — невероятный союзник для защитников, но он также может стать идеальным оружием для злоумышленников, позволяющим находить аналогичные уязвимости в рекордно короткие сроки.
