██████╗ ██████╗ ██████╗ ██╗   ██╗    ███████╗ █████╗ ██╗██╗
                    ██╔════╝██╔═══██╗██╔══██╗╚██╗ ██╔╝    ██╔════╝██╔══██╗██║██║
                    ██║     ██║   ██║██████╔╝ ╚████╔╝     █████╗  ███████║██║██║
                    ██║     ██║   ██║██╔═══╝   ╚██╔╝      ██╔══╝  ██╔══██║██║██║
                         ╚██████╗╚██████╔╝██║        ██║       ██║     ██║  ██║██║███████╗
                          ╚═════╝ ╚═════╝ ╚═╝        ╚═╝       ╚═╝     ╚═╝  ╚═╝╚═╝╚══════╝

📖 Table des matières

🔍 Qu'est-ce que Copy Fail ?

Copy Fail est une vulnérabilité d'escalade de privilèges locale (LPE) divulguée le 29 avril 2026, affectant pratiquement toutes les distributions Linux majeures exécutant des noyaux depuis 2017.

Utilisateur non privilégié  ──►  AF_ALG + splice()  ──►  Écriture de 4 octets dans le cache de pages  ──►  ROOT

Faits clés en un coup d'œil

Pourquoi c'est dangereux

• 🕵️ Furtif — La modification réside uniquement dans le cache de pages ; le fichier sur disque n'est jamais modifié. Les analyses forensiques standard du disque ne le détecteront pas.
• ⚡ Fiable — Défaut logique déterministe, pas une condition de concurrence. L'exploitation est cohérente d'un environnement à l'autre.
• 🌐 Universel — Affecte Ubuntu, RHEL, Amazon Linux, SUSE, Debian — toutes les distributions majeures depuis 2017.
• ☸️ Impact cloud/K8s — Peut faciliter l'évasion de conteneurs dans les charges de travail Kubernetes et les exécuteurs CI/CD.
• 🤖 Découvert par IA — Trouvé par le système d'IA de Xint Code avec environ 1 heure de scan et une seule invite opérateur.

🔬 Analyse technique approfondie

Cause racine

La vulnérabilité provient d'une optimisation in-place défectueuse introduite en 2017 (commit 72548b093ee3) dans le module algif_aead de l'API crypto espace utilisateur du noyau Linux (AF_ALG).

AF_ALG (API crypto espace utilisateur)
└── module algif_aead
    └── template authencesn  ◄── VULNÉRABLE
        └── optimisation in-place (2017)
            └── req->src == req->dst  ◄── pages de splice() chaînées dans le scatterlist dst inscriptible

Flux d'attaque

Étape 1 : Ouvrir une socket AF_ALG AEAD
        socket(AF_ALG, SOCK_SEQPACKET, 0)

Étape 2 : Envoyer des pages splice() référençant le fichier cible
        (pages du cache de pages d'un binaire privilégié, par exemple /usr/bin/sudo)

Étape 3 : Déclencher l'écriture scratch authencesn
        authencesn utilise le tampon dst comme zone de travail →
        écrit 4 octets contrôlés au-delà de la zone de sortie légitime

Étape 4 : L'entrée du cache de pages pour le fichier cible est maintenant corrompue
        (fichier disque intact — seule la copie en mémoire est modifiée)

Étape 5 : Exécuter le binaire modifié → ROOT

Pourquoi le cache de pages ?

Le cache de pages du noyau Linux stocke les copies en mémoire des fichiers. Lorsqu'un fichier est lu, ses pages sont mises en cache. L'appel système splice() peut référencer directement ces pages mises en cache. En insérant des pages du cache de pages dans le scatterlist AF_ALG AEAD, l'écriture scratch authencesn atterrit à l'intérieur de ces pages mises en cache, patchant ainsi efficacement la copie en mémoire de tout fichier lisible — y compris les binaires privilégiés comme sudo, pkexec ou passwd.

Le correctif

Le correctif en amont annule l'optimisation défectueuse de 2017 :

# Corrigé dans le commit : a664bf3d603d
git show a664bf3d603d

🖥️ Systèmes affectés

Versions du noyau Linux

Matrice des distributions

📁 Structure du dépôt