██████╗ ██████╗ ██████╗ ██╗   ██╗    ███████╗ █████╗ ██╗██╗
                    ██╔════╝██╔═══██╗██╔══██╗╚██╗ ██╔╝    ██╔════╝██╔══██╗██║██║
                    ██║     ██║   ██║██████╔╝ ╚████╔╝     █████╗  ███████║██║██║
                    ██║     ██║   ██║██╔═══╝   ╚██╔╝      ██╔══╝  ██╔══██║██║██║
                         ╚██████╗╚██████╔╝██║        ██║       ██║     ██║  ██║██║███████╗
                          ╚═════╝ ╚═════╝ ╚═╝        ╚═╝       ╚═╝     ╚═╝  ╚═╝╚═╝╚══════╝

📖 Tabela de Conteúdo

🔍 O que é Copy Fail?

Copy Fail é uma vulnerabilidade de escalação local de privilégios (LPE) divulgada em 29 de abril de 2026, afetando praticamente todas as principais distribuições Linux que executam kernels desde 2017.

Usuário Não Privilegiado  ──►  AF_ALG + splice()  ──►  Escrita de 4 bytes no Cache de Página  ──►  ROOT

Principais Fatos num Relance

Por Que Isto é Perigoso

• 🕵️ Furtivo — A modificação existe apenas no cache de página; o arquivo em disco nunca é alterado. A forense padrão de disco não o detectará.
• ⚡ Confiável — Falha lógica determinística, não uma condição de corrida. A exploração é consistente entre ambientes.
• 🌐 Universal — Afeta Ubuntu, RHEL, Amazon Linux, SUSE, Debian — todas as principais distros desde 2017.
• ☸️ Impacto em Cloud/K8s — Pode facilitar a fuga de contêineres em cargas de trabalho Kubernetes e runners CI/CD.
• 🤖 Descoberto por IA — Encontrado pelo sistema de IA da Xint Code com ~1 hora de varredura e um único prompt do operador.

🔬 Análise Técnica Detalhada

Causa Raiz

A vulnerabilidade decorre de uma otimização in-place defeituosa introduzida em 2017 (commit 72548b093ee3) dentro do módulo algif_aead da API de criptografia do espaço do usuário do kernel Linux (AF_ALG).

AF_ALG (API de criptografia do espaço do usuário)
└── módulo algif_aead
    └── template authencesn  ◄── VULNERÁVEL
        └── otimização in-place (2017)
            └── req->src == req->dst  ◄── páginas de splice() encadeadas no scatterlist dst gravável

Fluxo do Ataque

Passo 1: Abrir socket AF_ALG AEAD
        socket(AF_ALG, SOCK_SEQPACKET, 0)

Passo 2: Enviar páginas splice() referenciando o arquivo alvo
        (páginas do cache de página de um binário privilegiado, ex. /usr/bin/sudo)

Passo 3: Acionar escrita temporária de authencesn
        authencesn usa o buffer dst como área de rascunho →
        escreve 4 bytes controlados ALÉM da região legítima de saída

Passo 4: A entrada do cache de página para o arquivo alvo agora está corrompida
        (arquivo no disco intacto — apenas a cópia em memória foi modificada)

Passo 5: Executar o binário modificado → ROOT

Por Que o Cache de Página?

O cache de página do kernel Linux armazena cópias em memória de arquivos. Quando um arquivo é lido, suas páginas são armazenadas em cache. A chamada de sistema splice() pode referenciar diretamente essas páginas em cache. Ao alimentar páginas do cache de página no scatterlist do AEAD do AF_ALG, a escrita temporária do authencesn cai dentro dessas páginas em cache, efetivamente corrigindo a cópia em memória de qualquer arquivo legível — incluindo binários privilegiados como sudo, pkexec ou passwd.

A Correção

A correção upstream reverte a otimização defeituosa de 2017:

# Corrigido no commit: a664bf3d603d
git show a664bf3d603d

🖥️ Sistemas Afetados

Versões do Kernel Linux

Matriz de Distribuições

📁 Estrutura do Repositório