🔥 CVE-2026-31431 - "Copy Fail !!!"

Un'escalation dei privilegi locali sorprendentemente semplice ma letale nel kernel Linux

📌 Panoramica

CVE-2026-31431 (soprannominata "Copy Fail") è una vulnerabilità di escalation dei privilegi locali nel sottosistema crittografico del kernel Linux, che colpisce in particolare l'interfaccia algif_aead.

Un utente locale senza privilegi può sfruttare questa falla per eseguire una scrittura controllata di 4 byte nella cache delle pagine di qualsiasi file leggibile sul sistema — inclusi i binari setuid — consentendo in ultima analisi l'esecuzione arbitraria di codice come root.

🛠️ Causa principale

La vulnerabilità è stata introdotta nel 2017 dal commit 72548b093ee3 ("crypto: algif_aead - support in-place operations").

Il kernel presumeva erroneamente che le richieste AEAD potessero essere eseguite in sicurezza in-place (req->src == req->dst). Tuttavia, quando si utilizzano socket AF_ALG con splice() da file regolari, i buffer di origine e destinazione risiedono spesso in mappature di memoria differenti.

Questa discrepanza ha portato a un errore logico che ha consentito una corruzione controllata della memoria nella cache delle pagine.

🔥 Impatto

• Vettore d'attacco: Locale
• Complessità: Bassa (esistono exploit pubblici)
• Privilegi richiesti: Nessuno (utente senza privilegi)
• Impatto: Compromissione totale del sistema (accesso root)

Lo sfruttamento è banale. Una PoC Python di ~10 righe può ottenere in modo affidabile i privilegi di root sui sistemi non patchati.

📊 Gravità

✅ Sistemi interessati

• La maggior parte delle distribuzioni Linux che eseguono kernel dal 2017 all'inizio del 2026
• Ubuntu, Debian, RHEL, CentOS, Fedora, Amazon Linux, SUSE, Arch, ecc.
• Qualsiasi kernel precedente al commit di correzione a664bf3 (o backport equivalenti)

🛡️ Mitigazione e correzione

Azione consigliata: aggiornate il kernel immediatamente.

La correzione ufficiale annulla l'ottimizzazione in-place problematica in crypto/algif_aead.c.

Comandi rapidi:

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y

# RHEL / Fedora / Rocky / Alma
sudo dnf update kernel -y

# Check kernel version
uname -r

Soluzione temporanea (se la patch immediata non è possibile):

• Disabilitare i namespace utente senza privilegi
• Limitare l'uso dei socket AF_ALG tramite seccomp o AppArmor/SELinux

📜 Exploit

Sono già disponibili exploit pubblici, inclusa una proof-of-concept Python molto piccola e affidabile.

⚠️ Avvertenza: i sistemi lasciati senza patch dopo la divulgazione sono altamente vulnerabili.

🔗 Riferimenti

• Patch del kernel Linux
• Dettagli CVE
• Scoperta e analisi originali