██████╗ ██████╗ ██████╗ ██╗   ██╗    ███████╗ █████╗ ██╗██╗
                    ██╔════╝██╔═══██╗██╔══██╗╚██╗ ██╔╝    ██╔════╝██╔══██╗██║██║
                    ██║     ██║   ██║██████╔╝ ╚████╔╝     █████╗  ███████║██║██║
                    ██║     ██║   ██║██╔═══╝   ╚██╔╝      ██╔══╝  ██╔══██║██║██║
                         ╚██████╗╚██████╔╝██║        ██║       ██║     ██║  ██║██║███████╗
                          ╚═════╝ ╚═════╝ ╚═╝        ╚═╝       ╚═╝     ╚═╝  ╚═╝╚═╝╚══════╝

📖 Inhaltsverzeichnis

🔍 Was ist Copy Fail?

Copy Fail ist eine lokale Rechteausweitung (LPE)-Schwachstelle, die am 29. April 2026 offengelegt wurde und praktisch alle großen Linux-Distributionen betrifft, die Kernel seit 2017 ausführen.

Unprivilegierter Benutzer  ──►  AF_ALG + splice()  ──►  4-Byte Page-Cache-Schreibzugriff  ──►  ROOT

Wichtige Fakten auf einen Blick

Warum dies gefährlich ist

• 🕵️ Unsichtbar — Die Modifikation lebt nur im Page-Cache; die Datei auf der Festplatte wird nie verändert. Standard-Disk-Forensik wird sie nicht erkennen.
• ⚡ Zuverlässig — Deterministischer Logikfehler, kein Wettlauf. Ausbeutung ist konsistent über verschiedene Umgebungen.
• 🌐 Universell — Betrifft Ubuntu, RHEL, Amazon Linux, SUSE, Debian — alle großen Distributionen seit 2017.
• ☸️ Cloud/K8s-Auswirkungen — Kann Container-Escape in Kubernetes-Workloads und CI/CD-Runnern ermöglichen.
• 🤖 KI-entdeckt — Von Xint Codes KI-System mit ca. 1 Stunde Scan-Zeit und einer einzigen Bedieneraufforderung gefunden.

🔬 Technischer Tiefgang

Ursache

Die Schwachstelle stammt aus einer fehlerhaften In-Place-Optimierung, die 2017 (Commit 72548b093ee3) im Modul algif_aead der Linux-Kernel-Benutzerraum-Krypto-API (AF_ALG) eingeführt wurde.

AF_ALG (Benutzerraum-Krypto-API)
└── algif_aead-Modul
    └── authencesn-Vorlage  ◄── ANGREIFBAR
        └── In-Place-Optimierung (2017)
            └── req->src == req->dst  ◄── Seiten von splice() in beschreibbare dst-Liste eingereiht

Angriffsablauf

Schritt 1: AF_ALG AEAD-Socket öffnen
        socket(AF_ALG, SOCK_SEQPACKET, 0)

Schritt 2: splice()-Seiten senden, die auf die Zieldatei verweisen
        (Page-Cache-Seiten einer privilegierten Binärdatei, z. B. /usr/bin/sudo)

Schritt 3: authencesn-Notiz-Schreibzugriff auslösen
        authencesn verwendet den dst-Puffer als Notizblock →
        schreibt 4 kontrollierte Bytes ÜBER den legitimen Ausgabebereich hinaus

Schritt 4: Page-Cache-Eintrag der Zieldatei ist nun korrupt
        (Festplattendatei unberührt — nur die Kopie im Speicher wurde geändert)

Schritt 5: Die modifizierte Binärdatei ausführen → ROOT

Warum der Page-Cache?

Der Page-Cache des Linux-Kernels speichert speicherseitige Kopien von Dateien. Wenn eine Datei gelesen wird, werden ihre Seiten zwischengespeichert. Der splice()-Systemaufruf kann direkt auf diese zwischengespeicherten Seiten verweisen. Durch das Einfügen von Page-Cache-Seiten in die AF_ALG AEAD-Streuungsliste landet der authencesn-Notiz-Schreibzugriff innerhalb dieser zwischengespeicherten Seiten und patcht effektiv die speicherseitige Kopie jeder lesbaren Datei – einschließlich privilegierter Binärdateien wie sudo, pkexec oder passwd.

Der Fix

Der Upstream-Fix macht die fehlerhafte Optimierung von 2017 rückgängig:

# Behoben in Commit: a664bf3d603d
git show a664bf3d603d

🖥️ Betroffene Systeme

Linux-Kernel-Versionen

Distributions-Matrix

📁 Repository-Struktur