Badacze cyberbezpieczeństwa ujawnili poważną podatność w jądrze Linuksa znaną jako Copy Fail, śledzoną jako CVE-2026-31431, która może pozwolić lokalnemu, nieuprzywilejowanemu użytkownikowi na eskalację uprawnień do roota.
Problem ujawnił zespół Xint Code Research Team 29 kwietnia 2026 r. Według Xint podatność jest błędem logicznym w szablonie kryptograficznym authencesn jądra Linuksa, związanym z AF_ALG i splice(), który może umożliwić kontrolowany zapis do pamięci podręcznej stron (page cache) czytelnych plików. W praktyce można to nadużyć do zmodyfikowania znajdującej się w pamięci kopii binarki setuid-root i uzyskania uprawnień roota.
Czym jest Copy Fail?
Copy Fail to podatność typu lokalna eskalacja uprawnień w podsystemie kryptograficznym jądra Linuksa.
W przeciwieństwie do wielu błędów eskalacji uprawnień w Linuksie ten nie opiera się na sytuacji wyścigu ani niestabilnym taktowaniu. Xint opisuje go jako prosty błąd logiczny, który można wywołać w sposób niezawodny. Uszkodzone dane istnieją w pamięci, a nie są zapisywane z powrotem na dysk, co oznacza, że zwykłe kontrole integralności plików porównujące zawartość na dysku mogą nie wychwycić zmiany.
CERT-EU opisuje CVE-2026-31431 jako lokalną podatność eskalacji uprawnień o wysokiej wadze w module algif_aead, interfejsie gniazd AEAD w API kryptograficznym przestrzeni użytkownika Linuksa. Problem wynika z optymalizacji in-place wprowadzonej w 2017 roku.
Dlaczego to ważne
Ryzyko jest poważne, ponieważ skuteczne wykorzystanie podatności daje atakującemu dostęp na poziomie roota w podatnym systemie.
Z uprawnieniami roota atakujący może być w stanie:
- 🔐 modyfikować wrażliwą konfigurację systemu
- 🧬 manipulować ważnymi binarkami
- 🧑💻 instalować mechanizmy trwałości
- 📦 wydostawać się poza granice niektórych kontenerów
- 🏗️ przejmować węzły Kubernetes
- 🔑 uzyskiwać dostęp do sekretów na runnerach CI/CD
- 📡 przenikać głębiej w infrastrukturę
Xint zauważa, że problem ma wpływ międzykontenerowy, ponieważ pamięć podręczna stron jest współdzielona między procesami w systemie, w tym ponad granicami kontenerów. Sprawia to, że jest on szczególnie istotny dla węzłów Kubernetes, hostów kontenerów i współdzielonych środowisk Linux.
Niezawodne wykorzystanie zwiększa ryzyko
Jednym z najbardziej niepokojących szczegółów jest to, jak proste wydaje się wykorzystanie podatności.
Xint poinformował, że zwięzły proof of concept w Pythonie może uzyskać roota w testowanych dystrybucjach, w tym Ubuntu, Amazon Linux, RHEL i SUSE. Dark Reading podał również, że publiczny PoC ma zaledwie kilka linii, co zwiększa pilność szybkiego załatania lub zastosowania środków zaradczych przez obrońców.
Nie oznacza to, że zdalni atakujący mogą wykorzystać błąd bezpośrednio bez dostępu. Atakujący nadal musi najpierw uzyskać lokalne wykonanie kodu. Jednak w wielu rzeczywistych środowiskach lokalne wykonanie kodu może już istnieć dzięki przejętym kontenerom, zadaniom CI, dostępowi do powłoki o niskich uprawnieniach, podatnym aplikacjom lub niezaufanym obciążeniom.
Wykrywanie podatności wspierane przez AI
Copy Fail jest też ważny ze względu na sposób, w jaki go znaleziono.
Według Xint odkrycie było wspomagane przez AI, ale nie dokonało się wyłącznie dzięki AI. Badacz wpadł na kluczowy pomysł, że interakcja podsystemu kryptograficznego Linuksa z danymi opartymi na pamięci podręcznej stron może być niebezpieczna. Następnie użyto Xint Code, aby przeprowadzić analizę na dużą skalę w ścieżkach podsystemu kryptograficznego, a po około godzinie Copy Fail wyłonił się jako wynik o najwyższej wadze.
To ważna lekcja dla branży bezpieczeństwa.
AI nie zastępuje w pełni badaczy podatności, ale już sprawia, że są szybsi. Ludzka intuicja wskazała, gdzie szukać. AI pomogła przeprowadzić głęboką, powtarzalną analizę na dużą skalę.
Najbardziej narażone środowiska
Organizacje powinny nadać priorytet systemom, w których niezaufani lub częściowo zaufani użytkownicy mogą wykonywać kod.
Systemy o wysokim priorytecie to między innymi:
- ☁️ węzły robocze Kubernetes
- 🧪 runnery CI/CD
- 🐳 systemy budowania kontenerów
- 🖥️ współdzielone serwery Linux
- 🏫 środowiska badawcze i laboratoryjne
- 🧑💻 piaskownice programistów
- 🌐 hosty Linux wystawione do internetu, w których możliwe są ścieżki przejęcia aplikacji
AlmaLinux ostrzegło w szczególności, że problem dotyczy hostów wielodzierżawnych (multi-tenant), farm do budowania kontenerów, runnerów CI i każdego systemu, w którym niezaufani użytkownicy mogą uzyskać powłokę.
Zalecane działania
Głównym rozwiązaniem jest zainstalowanie załatanego jądra z Twojej dystrybucji Linuksa, gdy tylko będzie dostępne.
Xint podaje, że poprawka upstream cofa podatne zachowanie AF_ALG AEAD, aby wyeliminować strony pamięci podręcznej z zapisywalnej listy scatterlist. CERT-EU zauważa również, że poprawka upstream została zatwierdzona 1 kwietnia 2026 r., natomiast dostępność pakietów w poszczególnych dystrybucjach może się różnić.
Zalecane kroki obronne:
- ✅ zastosuj aktualizacje jądra od dostawcy, gdy tylko będą dostępne
- ✅ nadaj priorytet węzłom Kubernetes i runnerom CI/CD
- ✅ zrestartuj systemy po załataniu, aby załadować poprawione jądro
- ✅ ogranicz niezaufane lokalne wykonywanie kodu, gdzie to możliwe
- ✅ przeanalizuj ryzyko ucieczki z kontenera na współdzielonych hostach
- ✅ monitoruj podejrzane próby eskalacji uprawnień
- ✅ rozważ tymczasowe środki zaradcze, jeśli łatanie się opóźnia
CERT-EU zaleca tymczasowe wyłączenie modułu jądra algif_aead w podatnych systemach do czasu udostępnienia załatanych jąder, zwłaszcza dla obciążeń wysokiego ryzyka.
Dlaczego restart ma znaczenie
Ponieważ podatność dotyczy działającego jądra, a atak modyfikuje pamięć, samo zaktualizowanie pakietów może nie wystarczyć.
Po zastosowaniu aktualizacji jądra systemy należy zrestartować do załatanego jądra. Administratorzy powinni potwierdzić wersję działającego jądra po restarcie, zwłaszcza na krytycznych serwerach, węzłach Kubernetes i runnerach CI.
Prosty wewnętrzny komunikat uświadamiający
Krótka wiadomość dla zespołów infrastruktury:
🚨 Copy Fail / CVE-2026-31431 to podatność lokalnej eskalacji uprawnień w Linuksie, dotykająca popularne jądra budowane od 2017 roku. Nadaj priorytet wdrożeniu załatanego jądra na węzłach Kubernetes, runnerach CI, hostach kontenerów i w każdym systemie, w którym niezaufani użytkownicy lub obciążenia mogą wykonywać kod.
Podsumowanie
Copy Fail to mocne przypomnienie, że stare błędy logiczne mogą latami pozostawać ukryte w podstawowej infrastrukturze.
Podatność jest szczególnie niepokojąca, ponieważ jest niezawodna, dotyczy szerokiego zakresu systemów Linux i może zamienić lokalny dostęp o niskich uprawnieniach w roota. Wątek wykrycia wspomaganego przez AI pokazuje też, dokąd zmierzają badania nad podatnościami: szybciej, szerzej i coraz bardziej automatycznie.
🐧 Kluczowa lekcja jest prosta:
Łataj szybko, nadaj priorytet współdzielonej infrastrukturze Linux i zakładaj, że lokalne błędy mogą stać się problemami całego przedsiębiorstwa.
Dla obrońców okno między ujawnieniem a wykorzystaniem podatności się kurczy. Widoczność floty Linuksów, szybkie łatanie i zautomatyzowana reakcja są dziś ważniejsze niż kiedykolwiek.
