- Lỗ hổng CopyFail cho phép người dùng không có đặc quyền leo thang lên quyền root thông qua một lỗi logic trong hệ thống mã hóa.
- Lỗ hổng bảo mật CVE-2026-31431 ảnh hưởng đến rất nhiều phiên bản kernel từ năm 2017 đến năm 2026.
- Hệ thống tệp HFS tiềm ẩn thêm các rủi ro có thể gây ra sự cố hệ thống hoàn toàn hoặc thực thi mã độc.
Khi nghĩ về Linux, điều đầu tiên chúng ta nghĩ đến là nó là một hệ thống mạnh mẽ và cực kỳ bền bỉ . Đúng là nó là xương sống của phần lớn cơ sở hạ tầng internet và một số máy chủ mạnh nhất thế giới, nhưng điều đó không có nghĩa là nó là một pháo đài bất khả xâm phạm. Trên thực tế, các lỗ hổng bảo mật gần đây nhắc nhở chúng ta rằng ngay cả phần mềm được kiểm tra kỹ lưỡng nhất cũng có thể có những điểm yếu nguy hiểm, buộc chúng ta phải tìm kiếm các biện pháp bảo mật nâng cao trong Linux để bảo vệ hệ thống của mình.
Một trong những trường hợp đáng chú ý nhất là lỗ hổng CopyFail, một vấn đề không chỉ đơn thuần là lỗi chính tả trong bất kỳ ứng dụng nào, mà nằm ngay trong lõi của nhân hệ điều hành . Điều này đáng lo ngại vì nó cho phép người có quyền truy cập rất hạn chế về cơ bản có thể chiếm quyền kiểm soát hệ thống và giành quyền điều khiển hoàn toàn máy tính.
Bí ẩn CopyFail: CVE-2026-31431
Lỗ hổng này, được xác định về mặt kỹ thuật là CVE-2026-31431, là một lỗi logic dòng tuần tự . Đối với những người không rành về thuật ngữ kỹ thuật, điều này có nghĩa là nó không phụ thuộc vào lỗi bộ nhớ hoặc lỗi thời gian ngẫu nhiên, mà là do lỗi trong cách viết mã. Vấn đề cụ thể nằm ở thành phần `authencesn` của nhân hệ điều hành , có thể truy cập thông qua giao diện socket mật mã AF_ALG và hàm hệ thống `splice()`.
Điều khiến các chuyên gia kinh ngạc là lỗ hổng này đã âm thầm tồn tại từ năm 2017 cho đến khi được phát hiện vào năm 2026. Trong gần một thập kỷ, các cuộc kiểm tra an ninh định kỳ đã không phát hiện ra nó, khiến lỗ hổng này tồn tại trên hàng triệu thiết bị. Công cụ khai thác được các nhà nghiên cứu của Theori phát triển lại đơn giản đến bất ngờ: một đoạn mã Python chỉ dài 732 byte, chỉ sử dụng thư viện chuẩn , khiến nó cực kỳ nguy hiểm do dễ sử dụng.
Không giống như các lỗ hổng bảo mật khác yêu cầu kẻ tấn công phải có vận may cực kỳ lớn với các điều kiện tranh chấp hoặc phải biết chính xác các offset của kernel, CopyFail có thể bị khai thác một cách ổn định . Điều này có nghĩa là bất kỳ người dùng cục bộ nào, dù thông qua tài khoản thông thường, container bị xâm nhập hay quy trình CI/CD, đều có thể thực hiện thao tác ghi 4 byte vào bộ nhớ cache trang kernel để leo thang đặc quyền lên root trên Linux một cách dễ dàng.
Các hệ thống bị ảnh hưởng và phạm vi của vấn đề
Tác động này mang tính hệ thống và rất lớn. Các hệ thống bị ảnh hưởng đã được xác định trên một danh sách rất dài các bản phân phối phổ biến. Chúng bao gồm Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 và SUSE 16 , mặc dù danh sách này còn mở rộng đến Debian, Fedora, Arch, Rocky và Oracle Linux. Về cơ bản, bất kỳ hệ thống nào sử dụng nhân được biên dịch từ năm 2017 đến tháng 4 năm 2026 đều có nguy cơ bị ảnh hưởng, bao gồm các phiên bản từ 4.14 đến 6.18.22.
Điều quan trọng cần nhấn mạnh là vectơ tấn công mang tính cục bộ. Điều này có nghĩa là kẻ tấn công phải đã có quyền truy cập vào hệ thống, nhưng trong môi trường điện toán đám mây với nhiều người dùng hoặc container chia sẻ cùng một nhân hệ điều hành, rủi ro sẽ tăng lên gấp bội. Sự dễ dàng trong việc khai thác lỗ hổng này khiến nó trở thành ưu tiên hàng đầu đối với bất kỳ quản trị viên hệ thống nào.
Các mối đe dọa khác: Vụ việc liên quan đến hệ thống tập tin HFS
Nhưng không chỉ có CopyFail là vấn đề chính. Một cảnh báo cũng đã được đưa ra liên quan đến CVE-2025-0927 , một lỗ hổng được tìm thấy trong hệ thống tệp HFS của nhân Linux. Trong trường hợp này, vấn đề là việc xác thực đầu vào không đầy đủ khi hệ thống xử lý các cấu trúc bị hỏng. Nếu kẻ tấn công успеет buộc hệ thống đọc một hình ảnh HFS bị lỗi, nó có thể gây ra ghi đè bộ nhớ.
Hậu quả của lỗ hổng thứ hai này có thể từ một cuộc tấn công từ chối dịch vụ (DoS) đơn giản khiến hệ thống không phản hồi, đến những hậu quả nghiêm trọng hơn nhiều như thực thi mã tùy ý với quyền hạn cao. Vấn đề này đặc biệt ảnh hưởng đến các phiên bản kernel lên đến 6.12.0 và các cài đặt cụ thể như Ubuntu 22.04 với kernel 6.5.0-18-generic.
Làm thế nào để tự bảo vệ mình và giảm thiểu rủi ro?
Giải pháp tối ưu, như mọi khi, là luôn cập nhật phần mềm của bạn. Đối với CopyFail, điều quan trọng là phải áp dụng bản vá lỗi a664bf3d603d hoặc cập nhật kernel lên phiên bản đã được vá lỗi do bản phân phối của bạn cung cấp. Trong môi trường điện toán đám mây như AWS, Azure hoặc GCP, bạn nên ưu tiên cài đặt các bản vá ngay khi nhà cung cấp phát hành chúng, đặc biệt là trên các máy chủ trung gian và môi trường đa người dùng.
Nếu vì lý do nào đó bạn không thể khởi động lại hệ thống ngay lập tức, có một cách khác... thủ thuật để giảm thiểu lỗ hổng bảo mậtBạn có thể vô hiệu hóa mô-đun algif_aead bằng cách tạo một tệp trong /etc/modprobe.d/blacklist-algif.conf với dòng install algif_aead /bin/falseNếu mô-đun đã được kích hoạt, chỉ cần chạy rmmod algif_aead Để loại hắn khỏi cuộc chiến và đóng cửa lại, ngăn kẻ tấn công mà không cần phải khởi động lại.
Việc phát hiện ra lỗ hổng CopyFail cũng đã làm nổi bật vai trò của Trí tuệ Nhân tạo (AI). Được biết, các công cụ phân tích dựa trên AI đóng vai trò quan trọng trong việc phát hiện ra lỗ hổng này, một lỗ hổng mà con người đã bỏ qua trong suốt chín năm. Điều này dạy cho chúng ta một bài học cay đắng: AI là một đồng minh tuyệt vời cho những người bảo vệ hệ thống, nhưng nó cũng có thể là vũ khí hoàn hảo cho những kẻ tấn công để tìm ra các lỗ hổng tương tự trong thời gian kỷ lục.
