██████╗ ██████╗ ██████╗ ██╗   ██╗    ███████╗ █████╗ ██╗██╗
                    ██╔════╝██╔═══██╗██╔══██╗╚██╗ ██╔╝    ██╔════╝██╔══██╗██║██║
                    ██║     ██║   ██║██████╔╝ ╚████╔╝     █████╗  ███████║██║██║
                    ██║     ██║   ██║██╔═══╝   ╚██╔╝      ██╔══╝  ██╔══██║██║██║
                         ╚██████╗╚██████╔╝██║        ██║       ██║     ██║  ██║██║███████╗
                          ╚═════╝ ╚═════╝ ╚═╝        ╚═╝       ╚═╝     ╚═╝  ╚═╝╚═╝╚══════╝

📖 Tabla de Contenidos

🔍 ¿Qué es Copy Fail?

Copy Fail es una vulnerabilidad de escalada local de privilegios (LPE) divulgada el 29 de abril de 2026, que afecta prácticamente a todas las principales distribuciones de Linux que ejecutan kernels desde 2017.

Usuario sin privilegios  ──►  AF_ALG + splice()  ──►  Escritura de 4 bytes en el caché de páginas  ──►  ROOT

Datos Clave de un Vistazo

Por Qué Esto es Peligroso

• 🕵️ Sigiloso — La modificación solo vive en el caché de páginas; el archivo en disco nunca se modifica. El análisis forense estándar de disco no lo detectará.
• ⚡ Confiable — Fallo lógico determinista, no una condición de carrera. La explotación es consistente en diferentes entornos.
• 🌐 Universal — Afecta a Ubuntu, RHEL, Amazon Linux, SUSE, Debian — todas las distribuciones principales desde 2017.
• ☸️ Impacto en Cloud/K8s — Puede facilitar el escape de contenedores en cargas de trabajo de Kubernetes y ejecutores de CI/CD.
• 🤖 Descubierto por IA — Encontrado por el sistema de IA de Xint Code con aproximadamente 1 hora de escaneo y un solo prompt de operador.

🔬 Análisis Técnico Profundo

Causa Raíz

La vulnerabilidad proviene de una optimización in situ defectuosa introducida en 2017 (commit 72548b093ee3) dentro del módulo algif_aead de la API criptográfica de espacio de usuario del kernel de Linux (AF_ALG).

AF_ALG (API criptográfica de espacio de usuario)
└── módulo algif_aead
    └── plantilla authencesn  ◄── VULNERABLE
        └── optimización in situ (2017)
            └── req->src == req->dst  ◄── páginas de splice() encadenadas en una lista de dispersión de dst escribible

Flujo del Ataque

Paso 1: Abrir socket AF_ALG AEAD
        socket(AF_ALG, SOCK_SEQPACKET, 0)

Paso 2: Enviar páginas de splice() que referencian el archivo objetivo
        (páginas del caché de páginas de un binario privilegiado, p.ej. /usr/bin/sudo)

Paso 3: Activar escritura temporal de authencesn
        authencesn usa el buffer dst como área de trabajo →
        escribe 4 bytes controlados MÁS ALLÁ de la región de salida legítima

Paso 4: La entrada del caché de páginas para el archivo objetivo ahora está corrupta
        (archivo en disco intacto — solo se modificó la copia en memoria)

Paso 5: Ejecutar el binario modificado → ROOT

¿Por Qué el Caché de Páginas?

El caché de páginas del kernel de Linux respalda las copias en memoria de los archivos. Cuando se lee un archivo, sus páginas se almacenan en caché. La llamada al sistema splice() puede referenciar directamente estas páginas cacheadas. Al alimentar páginas del caché de páginas en la lista de dispersión de AF_ALG AEAD, la escritura temporal de authencesn cae dentro de esas páginas cacheadas, parcheando efectivamente la copia en memoria de cualquier archivo legible — incluyendo binarios privilegiados como sudo, pkexec o passwd.

La Solución

El parche ascendente revierte la optimización defectuosa de 2017:

# Corregido en el commit: a664bf3d603d
git show a664bf3d603d

🖥️ Sistemas Afectados

Versiones del Kernel de Linux

Matriz de Distribuciones

📁 Estructura del Repositorio