██████╗ ██████╗ ██████╗ ██╗   ██╗    ███████╗ █████╗ ██╗██╗
                    ██╔════╝██╔═══██╗██╔══██╗╚██╗ ██╔╝    ██╔════╝██╔══██╗██║██║
                    ██║     ██║   ██║██████╔╝ ╚████╔╝     █████╗  ███████║██║██║
                    ██║     ██║   ██║██╔═══╝   ╚██╔╝      ██╔══╝  ██╔══██║██║██║
                         ╚██████╗╚██████╔╝██║        ██║       ██║     ██║  ██║██║███████╗
                          ╚═════╝ ╚═════╝ ╚═╝        ╚═╝       ╚═╝     ╚═╝  ╚═╝╚═╝╚══════╝

📖 Содержание

🔍 Что такое Copy Fail?

Copy Fail — это уязвимость локального повышения привилегий (LPE), раскрытая 29 апреля 2026 года, затрагивающая практически все основные дистрибутивы Linux, работающие на ядрах, выпущенных с 2017 года.

Непривилегированный пользователь  ──►  AF_ALG + splice()  ──►  Запись 4 байт в кэш страниц  ──►  ROOT

Ключевые факты

Почему это опасно

• 🕵️ Скрытность — Изменение существует только в кэше страниц; файл на диске никогда не меняется. Стандартные методы криминалистики диска не обнаружат его.
• ⚡ Надёжность — Детерминированная логическая ошибка, а не состояние гонки. Эксплойт работает стабильно в разных средах.
• 🌐 Универсальность — Затрагивает Ubuntu, RHEL, Amazon Linux, SUSE, Debian — каждый крупный дистрибутив с 2017 года.
• ☸️ Влияние на облако/K8s — Может способствовать выходу из контейнера в рабочих нагрузках Kubernetes и CI/CD раннерах.
• 🤖 Обнаружена ИИ — Найдена системой ИИ Xint Code примерно за 1 час сканирования и с одним запросом оператора.

🔬 Технический анализ

Первопричина

Уязвимость происходит из ошибочной оптимизации на месте, внедрённой в 2017 году (коммит 72548b093ee3) в модуле algif_aead пользовательского крипто API ядра Linux (AF_ALG).

AF_ALG (пользовательский крипто API)
└── модуль algif_aead
    └── шаблон authencesn  ◄── УЯЗВИМО
        └── оптимизация на месте (2017)
            └── req->src == req->dst  ◄── страницы из splice() попадают в изменяемый список рассеяния dst

Сценарий атаки

Шаг 1: Открыть сокет AF_ALG AEAD
        socket(AF_ALG, SOCK_SEQPACKET, 0)

Шаг 2: Отправить страницы splice(), ссылающиеся на целевой файл
        (страницы кэша страниц привилегированного бинарника, например /usr/bin/sudo)

Шаг 3: Запустить черновую запись authencesn
        authencesn использует буфер dst как черновик →
        записывает 4 контролируемых байта ЗА пределами легитимной области вывода

Шаг 4: Запись в кэше страниц для целевого файла теперь повреждена
        (файл на диске не тронут — изменена только копия в памяти)

Шаг 5: Запустить изменённый бинарник → ROOT

Почему кэш страниц?

Кэш страниц ядра Linux хранит в памяти копии файлов. Когда файл читается, его страницы кэшируются. Системный вызов splice() может напрямую ссылаться на эти кэшированные страницы. Передавая страницы кэша страниц в список рассеяния AF_ALG AEAD, черновая запись authencesn попадает внутрь этих кэшированных страниц, тем самым эффективно пропатчивая копию в памяти любого читаемого файла — включая привилегированные бинарники, такие как sudo, pkexec или passwd.

Исправление

Исправление в основной ветке откатывает ошибочную оптимизацию 2017 года:

# Исправлено в коммите: a664bf3d603d
git show a664bf3d603d

🖥️ Затронутые системы

Версии ядра Linux

Матрица дистрибутивов

📁 Структура репозитория