2. Ambiente de prática

Informações do kernel antes do patch:

Informações do kernel depois do patch:

Resumo das alterações dos pacotes do kernel:

3. Resumo do conceito da vulnerabilidade

Copy Fail é uma vulnerabilidade em que o page cache de arquivos somente leitura pode ser usado como alvo de escrita indevida, quando o caminho de processamento AEAD do AF_ALG do kernel Linux se combina com o comportamento zero-copy do splice().

Os componentes centrais são os seguintes:

O fluxo central da vulnerabilidade é o seguinte:

Ou seja, splice() entrega a referência do page cache, o processamento AEAD in-place entrelaça entrada e saída no mesmo caminho, e authencesn é o que efetivamente realiza a escrita de 4 bytes.

4. Análise da estrutura do código PoC

A estrutura do repositório usado na prática é a seguinte:

4.1 utils.c

O núcleo de utils.c é a primitive de mutation do page cache da família patch_chunk(). Essa função conecta o page cache do arquivo alvo ao caminho de processamento de crypto usando AF_ALG e splice(), e verifica se, em kernels vulneráveis, parte do page cache é sobrescrita durante o processamento AEAD.

4.2 vulnerable.c

vulnerable.c não toca em arquivos reais do sistema. Ele cria um testfile temporário no diretório atual e verifica se o page cache desse arquivo é modificado.

Neste projeto, apenas esse arquivo foi executado.

5. Procedimento da prática

5.1 Registro do estado antes do patch

Antes de realizar a atualização do kernel, foram registrados o OS, o kernel e o estado dos pacotes.

5.2 Clonagem do repositório PoC e build do checker

Nesta prática, os binários de exploit não foram compilados junto com o make padrão; apenas o target vulnerable foi usado.

5.3 Execução do checker antes do patch

Resultado da execução antes do patch:

Análise:

6. Comparação antes e depois do patch

6.1 Atualização do kernel

Após salvar os resultados antes do patch, foi realizada a atualização dos pacotes do Ubuntu.

Após a reinicialização, o kernel foi alterado da seguinte forma:

6.2 Reexecução do checker depois do patch

Resultado da execução depois do patch:

Comparação de resultados:

7. Interpretação do resultado após o patch

O exit_code=2 após o patch não significa simplesmente "não vulnerável". Precisamente, é o seguinte:

Investigações adicionais revelaram que, após a atualização do Ubuntu, o carregamento do módulo algif_aead estava bloqueado.

Resultado:

O módulo algif_aead não estava carregado.

Resultado:

Verificação da configuração de bloqueio:

Resultado:

Portanto, é correto interpretar o resultado após o patch da seguinte forma:

Ou seja, o que esta prática confirmou não é apenas o "efeito do patch no código do kernel", mas o estado em que, após a atualização de segurança do Ubuntu, a atualização do kernel e a mitigação via bloqueio do módulo algif_aead foram aplicadas, de modo que o mesmo caminho do PoC não prossegue.

8. Prática de detecção com base em auditd

Como o Copy Fail pode modificar o page cache sem alterar diretamente o arquivo em disco, a detecção baseada apenas em hash de arquivos tem limitações. Por isso, a detecção baseada no comportamento de syscalls é importante.

Nesta prática, os seguintes syscalls foram observados usando auditd:

8.1 Detecção de socket(AF_ALG)

Nos logs, foi confirmado que o processo vulnerable criou um socket AF_ALG.

8.2 Detecção da falha de bind()

No ambiente após o patch/mitigação, o processo vulnerable tentou fazer bind ao template authencesn, mas falhou.

Isso significa que, no ambiente pós-patch, o PoC chegou a criar o socket AF_ALG, mas falhou na etapa de bind ao template authencesn(hmac(sha256),cbc(aes)).

8.3 Interpretação dos logs de splice() / sendmsg()

Após o patch, como a etapa de bind() falhou, o checker não conseguiu avançar até as etapas de splice() e sendmsg(). Portanto, o fluxo de execução do vulnerable não foi observado de forma relevante nos logs desses syscalls.

9. Resumo dos pontos de detecção

Em ambientes de produção, ao observar vulnerabilidades da classe Copy Fail, é possível ver a seguinte combinação de comportamentos:

Nesta prática, o evento socket(AF_ALG) e a falha de bind() foram confirmados via auditd.

10. Resumo das medidas de mitigação

10.1 Atualização do kernel e dos pacotes de segurança

A medida mais básica é aplicar as atualizações de segurança da distribuição.

Nesta prática, após a atualização, o ambiente foi alterado para Ubuntu 24.04.4 / kernel 6.8.0-134-generic.

10.2 Bloqueio do módulo algif_aead

Após a atualização do Ubuntu, a seguinte configuração foi confirmada:

Essa configuração bloqueia o carregamento do módulo algif_aead, impedindo a entrada no caminho AF_ALG AEAD exigido pelo PoC.

10.3 Monitoramento do uso de AF_ALG

Como não é comum aplicações de servidor típicas usarem AF_ALG diretamente, chamadas a socket(AF_ALG) podem ser usadas como ponto de detecção.

11. Avaliação final

Os resultados desta prática podem ser resumidos da seguinte forma:

Portanto, a conclusão deste projeto é a seguinte:

No kernel anterior ao patch, a primitive de mutation do page cache do Copy Fail realmente funcionou.
Em seguida, ao aplicar a atualização de segurança do Ubuntu, o kernel foi alterado para 6.8.0-134-generic e foi aplicada uma configuração de bloqueio do módulo algif_aead, aparentemente baseada em kmod.
Como resultado, o checker não conseguiu fazer bind ao template AF_ALG authencesn(hmac(sha256),cbc(aes)) exigido pelo PoC e, portanto, não avançou até a etapa de mutation do page cache.

Ou seja, com base nos resultados desta prática, não se pode afirmar que "o patch no código do kernel bloqueou diretamente a mutation do page cache", mas o que se pode afirmar com certeza a partir dos logs e resultados até o momento é que após a atualização de segurança do Ubuntu, a mitigação via bloqueio do módulo algif_aead foi aplicada, bloqueando o caminho do PoC.

12. Materiais de referência

• Ubuntu Security Notice - USN-8226-1: atualização do kmod
  https://ubuntu.com/security/notices/USN-8226-1

• Ubuntu Blog - Correções disponíveis para o CVE-2026-31431 Copy Fail
  https://ubuntu.com/blog/copy-fail-vulnerability-fixes-available

• Repositório PoC copy-fail-c
  https://github.com/jihwan77/copy-fail-c

13. Resumo

O essencial confirmado neste projeto é o seguinte: