██████╗ ██████╗ ██████╗ ██╗   ██╗    ███████╗ █████╗ ██╗██╗
                    ██╔════╝██╔═══██╗██╔══██╗╚██╗ ██╔╝    ██╔════╝██╔══██╗██║██║
                    ██║     ██║   ██║██████╔╝ ╚████╔╝     █████╗  ███████║██║██║
                    ██║     ██║   ██║██╔═══╝   ╚██╔╝      ██╔══╝  ██╔══██║██║██║
                         ╚██████╗╚██████╔╝██║        ██║       ██║     ██║  ██║██║███████╗
                          ╚═════╝ ╚═════╝ ╚═╝        ╚═╝       ╚═╝     ╚═╝  ╚═╝╚═╝╚══════╝

📖 Indice

🔍 Cos'è Copy Fail?

Copy Fail è una vulnerabilità di scalata di privilegi locale (LPE) divulgata il 29 aprile 2026, che colpisce praticamente tutte le principali distribuzioni Linux con kernel dalla 2017 in poi.

Utente con privilegi ridotti  ──►  AF_ALG + splice()  ──►  Scrittura di 4 byte nella cache di pagine  ──►  ROOT

Fatti chiave in sintesi

Perché è pericoloso

• 🕵️ Furtivo — La modifica risiede solo nella cache di pagine; il file su disco non viene mai alterato. Le analisi forensi su disco standard non lo rileveranno.
• ⚡ Affidabile — Difetto logico deterministico, non una race condition. Lo sfruttamento è consistente tra ambienti diversi.
• 🌐 Universale — Colpisce Ubuntu, RHEL, Amazon Linux, SUSE, Debian — ogni distribuzione principale dal 2017.
• ☸️ Impatto su Cloud/K8s — Può facilitare la fuga da container in carichi di lavoro Kubernetes e runner CI/CD.
• 🤖 Scoperto dall'IA — Trovato dal sistema AI di Xint Code con circa 1 ora di scansione e un singolo prompt operatore.

🔬 Approfondimento tecnico

Causa principale

La vulnerabilità deriva da un'ottimizzazione in-place difettosa introdotta nel 2017 (commit 72548b093ee3) all'interno del modulo algif_aead dell'API crittografica userspace del kernel Linux (AF_ALG).

AF_ALG (API crittografica userspace)
└── modulo algif_aead
    └── template authencesn  ◄── VULNERABILE
        └── ottimizzazione in-place (2017)
            └── req->src == req->dst  ◄── pagine da splice() concatenate in scatterlist dst scrivibile

Flusso di attacco

Passo 1: Aprire un socket AF_ALG AEAD
        socket(AF_ALG, SOCK_SEQPACKET, 0)

Passo 2: Inviare pagine splice() che referenziano il file target
        (pagine cache di pagine di un binario con privilegi, es. /usr/bin/sudo)

Passo 3: Attivare la scrittura scratch su authencesn
        authencesn usa il buffer dst come area scratch →
        scrive 4 byte controllati OLTRE la regione di output legittima

Passo 4: La voce nella cache di pagine per il file target è ora corrotta
        (file su disco intatto — solo la copia in memoria è modificata)

Passo 5: Eseguire il binario modificato → ROOT

Perché la cache di pagine?

La cache di pagine del kernel Linux mantiene copie in memoria dei file. Quando un file viene letto, le sue pagine vengono memorizzate nella cache. La syscall splice() può referenziare direttamente queste pagine in cache. Alimentando le pagine della cache di pagine nello scatterlist AEAD di AF_ALG, la scrittura scratch di authencesn finisce all'interno di quelle pagine in cache, modificando di fatto la copia in memoria di qualsiasi file leggibile — inclusi binari con privilegi come sudo, pkexec o passwd.

La correzione

La correzione upstream ripristina la difettosa ottimizzazione del 2017:

# Corretto nel commit: a664bf3d603d
git show a664bf3d603d

🖥️ Sistemi affetti

Versioni del kernel Linux

Matrice distribuzioni

📁 Struttura del repository