- Уразливість CopyFail дозволяє непривілейованим користувачам отримати root-доступ через логічну помилку в криптографічній підсистемі.
- Уразливість CVE-2026-31431 торкнулася широкого спектру ядер з 2017 по 2026 рік.
- У файловій системі HFS існують додаткові ризики, які можуть призвести до повного збою системи або виконання коду.
Коли ми думаємо про Linux, перше, що спадає на думку, це те, що це надійна та надзвичайно стійка система . Це правда, що він є основою значної частини інтернет-інфраструктури та деяких найпотужніших серверів світу, але це не означає, що це непроникний бункер. Насправді, нещодавні вразливості нагадують нам, що навіть найретельніше перевірене програмне забезпечення може мати небезпечні слабкі місця, змушуючи нас шукати розширені заходи безпеки в Linux для захисту наших систем.
Одним із найяскравіших випадків є так звана вразливість CopyFail, проблема, яка не є простою друкарською помилкою в будь-якій програмі, а лежить у самому серці ядра . Це викликає занепокоєння, оскільки дозволяє комусь із дуже обмеженим доступом фактично захопити контроль над системою та отримати повний контроль над комп’ютером.
Загадка CopyFail: CVE-2026-31431
Ця вразливість, технічно позначена як CVE-2026-31431, відома як недолік логіки послідовного потоку . Для тих з нас, хто не розмовляє технічним жаргоном, це означає, що вона залежить не від випадкових помилок пам'яті чи часу, а від недоліку в способі написання коду. Проблема полягає, зокрема, в компоненті ядра `authencesn` , доступ до якого здійснюється через інтерфейс криптографічного сокета AF_ALG та системну функцію `splice()`.
Що залишає експертів безмовними, так це те, що ця вразливість непомітно приховувалася з 2017 року до її виявлення у 2026 році. Протягом майже десятиліття планові аудити безпеки не виявляли її, що дозволяло цій вразливості зберігатися на мільйонах пристроїв. Експлойт, розроблений дослідниками Theori, напрочуд простий: скрипт Python розміром лише 732 байти, який використовує лише стандартну бібліотеку , що робить його надзвичайно небезпечним через простоту використання.
На відміну від інших експлойтів, які вимагають від зловмисника неймовірної удачі з умовами гонки або знання точних зміщень ядра, CopyFail є стабільно вразливим до експлойтів . Це означає, що будь-який локальний користувач, чи то через звичайний обліковий запис, скомпрометований контейнер, чи процес CI/CD, може виконати 4-байтовий запис у кеш сторінок ядра, щоб підвищити привілеї до root у Linux, не завдаючи шкоди.
Уражені системи та масштаб проблеми
Вплив є системним і масштабним. Уражені системи були виявлені у дуже довгому списку популярних дистрибутивів. До них належать Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 та SUSE 16 , хоча список поширюється на Debian, Fedora, Arch, Rocky та Oracle Linux. По суті, під загрозою перебуває будь-яка система, яка використовує ядра, скомпільовані між 2017 роком і квітнем 2026 року, включаючи версії від 4.14 до 6.18.22.
Важливо наголосити, що вектор атаки є локальним. Це означає, що зловмисник вже повинен мати певний доступ до системи, але в хмарних середовищах з кількома орендарями або контейнерами, що використовують одне ядро, ризик зростає. Легкість, з якою цю вразливість можна використати, робить її головним пріоритетом для будь-якого системного адміністратора.
Інші загрози: Випадок файлової системи HFS
Але справа не лише в CopyFail. Також було піднято попередження щодо CVE-2025-0927 , вразливості, виявленої у файловій системі HFS ядра Linux. У цьому випадку проблема полягає в недостатній перевірці вхідних даних , коли система обробляє пошкоджені структури. Якщо зловмиснику вдасться змусити систему прочитати пошкоджений образ HFS, це може призвести до перезапису пам'яті.
Наслідки цієї другої вразливості можуть варіюватися від простої атаки типу «відмова в обслуговуванні» (DoS) , яка залишає систему безвідповідальною, до чогось набагато серйознішого, такого як виконання довільного коду з підвищеними привілеями. Ця проблема особливо впливає на версії ядра до 6.12.0 та певні інсталяції, такі як Ubuntu 22.04 з ядром 6.5.0-18-generic.
Як захистити себе та зменшити ризики?
Найкращим рішенням, як завжди, є оновлення програмного забезпечення. Для CopyFail вкрай важливо застосувати виправлення commit a664bf3d603d або оновити ядро до виправленої версії, що надається вашим дистрибутивом. У хмарних середовищах, таких як AWS, Azure або GCP, слід пріоритетно встановлювати виправлення, щойно постачальник їх випускає, особливо на серверах Jump-серверів та в багатокористувацьких середовищах.
Якщо з якоїсь причини ви не можете негайно перезавантажити систему, існує трюк для зменшення вразливостіВи можете вимкнути модуль algif_aead, створивши файл у /etc/modprobe.d/blacklist-algif.conf з лінією install algif_aead /bin/falseЯкщо модуль вже активний, просто запустіть rmmod algif_aead вибити його з бою та зачинити двері перед нападником без необхідності перезапуску.
Відкриття CopyFail також підкреслило роль штучного інтелекту. Відомо, що інструменти аналізу на основі штучного інтелекту відіграли важливу роль у виявленні цієї вразливості, яку людство ігнорувало протягом дев'яти років. Це дає нам гірко-солодкий урок: ШІ — неймовірний союзник для захисників, але він також може бути ідеальною зброєю для зловмисників, щоб знаходити подібні вразливості в рекордно короткі терміни.
