Linux staat voor de grootste beveiligingsdreiging in jaren—hier leest u hoe u met Copy Fail omgaat

De Linux-gemeenschap heeft te maken met het ernstigste beveiligingsrisico sinds Dirty Pipe in 2022. Onderzoekers van het cybersecuritybedrijf Theori hebben details gedeeld over Copy Fail, een kwetsbaarheid die aanvallers root-toegang geeft tot vrijwel alle Linux-distributies met relatief weinig moeite.

De kwetsbaarheid, bekend als CVE-2026-31431, maakt misbruik van een door AI ontdekte logische fout in het authencesn AEAD-sjabloonproces van Linux (gebruikt voor uitgebreide sequentienummers in IP-beveiliging) waarbij inhoud niet wordt gekopieerd zoals verwacht. In plaats van alle gegevens binnen een buffer te houden, gaan vier bytes buiten die buffer. Indringers hoeven slechts vier eigen bytes naar de paginacache van elk leesbaar bestand te schrijven om toegang op rootniveau te krijgen.

Het bewijs van de dreiging van Copy Fail blijkt uit het gemak van het gebruik van de exploit, volgens Theori. Een 732-byte Python-script zou volgens berichten root krijgen op vrijwel elke Linux-distributie die sinds 2017 is uitgebracht, inclusief Ubuntu, Red Hat Enterprise Linux, Amazon Linux en Debian.

Theori voorziet een scenario uit het echte leven waarin een dader gebruik maakt van een kwetsbaarheid in een WordPress-plugin, een Copy Fail-script uitvoert en root-toegang krijgt op een webhost om elke huurder die het gebruikt te compromitteren. De dader kan een andere aanval nodig hebben om binnen te komen, maar kan Copy Fail gebruiken om veel meer schade aan te richten. Ze kunnen ook ontsnappen uit Kubernetes-containers of kwaadaardige code pull requests maken voor CI/CD-workflows.

Hoe te beschermen tegen de Linux Copy Fail-beveiligingsfout

Sommige patches bestaan, maar mitigatie kan nodig zijn

Theori heeft begin maart stilletjes Copy Fail gemeld aan de Linux-kernelbeveiligingsontwikkelaars, en dat team heeft begin april een patch naar de mainline gecommit. Fixes zijn aanwezig voor recente Linux-kernels variërend van 7.0 tot 5.10.2.54, maar de meeste distributies hebben nog geen patches omdat ze doorgaans oudere kernels gebruiken en de fixes zelf toepassen.

De zorg is dat Theori de makers van distributies niet genoeg tijd heeft gegeven om verbeteringen door te voeren. Net als bij een klassieke zero-day exploit, moeten gebruikers en IT-managers nu tijdelijke beveiligingsmaatregelen vinden en zich voorbereiden op mogelijke inbreuken.

Op het moment van schrijven zijn de enige beschikbare patches voor Arch Linux en Red Hat Fedora. Gezien de ernst van de kwetsbaarheid, wordt aanbevolen om de correctie zo snel mogelijk te installeren.

Als u een andere Linux-versie gebruikt, kan er een mitigatie aanwezig zijn. De oplossingen omvatten doorgaans het blokkeren van het proces in de relevante module (algif_aead of algif_aead_init) of zelfs de relevante interfaces en algoritmen. Hier is de lijst van beschikbare mitigatieoplossingen op het moment van publicatie:

• Ubuntu
• Red Hat Enterprise Linux
• SUSE

Het Red Hat-team waarschuwt dat er een 'prestatie-impact' kan zijn voor elke taak die Linux-kernelcryptografische functies vereist, dus u kunt de effecten merken totdat een patch u in staat stelt de relevante processen te herstellen.