Исследователи безопасности из компании Theori обнаружили уязвимость в ядре Linux, которая позволяет злоумышленникам получить права root на бесчисленном множестве систем. Согласно странице с информацией для исследователей(открывается в новом окне) , уязвимы все распространенные дистрибутивы Linux, выпущенные начиная с 2017 года. Поскольку необходимый эксплойт-код уже находится в открытом доступе, пользователям Linux следует как можно скорее установить исправления для своих систем.

Данная уязвимость получила название Copy Fail, зарегистрирована как CVE-2026-31431(открывается в новом окне) и имеет высокий уровень серьезности (CVSS: 7,8). По словам исследователей Theori, она позволяет атакующему с обычными правами пользователя "записывать четыре определенных байта в кэш страниц любого читаемого файла в Linux-системе" .

При соответствующем применении это позволяет добиться повышения привилегий до root. Исследователи демонстрируют это на примере опубликованного на GitHub эксплойта(открывается в новом окне) . Речь идет о небольшом Python-скрипте размером всего 732 байта, который для повышения привилегий целенаправленно манипулирует Setuid-бинарным файлом.

Затронуты все крупные дистрибутивы

О том, как именно работает эксплойт, исследователи рассказывают в отдельной записи блога(открывается в новом окне) . Согласно ей, Copy Fail основан на логической ошибке в криптографическом шаблоне "authencesn" , а также на том, как ядро Linux обрабатывает кэш страниц поврежденных файлов. Эксплуатация, по всей видимости, работает надежно и не требует ни выигрыша в состоянии гонки, ни ожидания какого-либо события.

Исследователи протестировали свой эксплойт на отдельных версиях Ubuntu(открывается в новом окне) , Amazon Linux(открывается в новом окне) , Red Hat Enterprise Linux(открывается в новом окне) (RHEL) и Suse(открывается в новом окне) . Поскольку брешь присутствует во всех версиях ядра Linux, выпущенных с 2017 года, ожидается, что эксплойт будет работать и в других распространенных дистрибутивах, например Debian(открывается в новом окне) , без необходимости каких-либо изменений в скрипте.

Возможен также побег из контейнера

По данным Theori, Copy Fail была обнаружена с использованием ИИ. Исследователи сообщают, что сообщили об уязвимости команде безопасности ядра Linux 23 марта. После этого был разработан патч, который сейчас постепенно внедряется в затронутые дистрибутивы Linux и должен быть распространен на пользовательские системы. Однако многие версии упомянутых дистрибутивов на данный момент все еще помечены как уязвимые.

Copy Fail также можно использовать для побега из контейнеров Kubernetes. Однако подробности об этом исследователи безопасности планируют опубликовать позднее.

Совсем недавно компания Telekom выявила аналогичную опасную уязвимость, также обнаруженную с помощью ИИ, которая затрагивает множество Linux-систем. В этом случае причина кроется не в ядре Linux, а в инструменте под названием Packagekit, который по умолчанию входит в состав нескольких крупных дистрибутивов.