CISA вели дека пропустот „Copy Fail“ сега се експлоатира за добивање root пристап на Linux системи

CISA предупреди дека напаѓачи веќе започнале да го злоупотребуваат Linux безбедносниот пропуст „Copy Fail“ во реални напади, само еден ден по објавата на Theori истражувачите и нивниот proof-of-concept (PoC) експлоит.

Следен како CVE-2026-31431, овој пропуст е пронајден во Linux kernel интерфејсот algif_aead за криптографски алгоритми и овозможува локални не-администраторски корисници да добијат root привилегии на непatchирани Linux системи, со запишување на четири контролирани бајти во page cache на било која читлива датотека.

Истражувачите од Theori го објавија пропустот во четврток и споделија Python-базиран експлоит, кој според нив е „100% сигурен“ и може да се користи за добивање root пристап на Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 и SUSE 16 системи. Тие исто така додаваат дека истиот скрипт може сигурно да се користи на било која Linux дистрибуција издадена од 2017 година па наваму, доколку користи ранлива верзија на kernel.

„Ист скрипт, четири дистрибуции, четири root shell-и — во еден обид. Истиот експлоит бинарен фајл работи непроменет на секоја Linux дистрибуција,“ соопшти Theori. „Ако вашиот kernel е изграден помеѓу 2017 и моментот на закрпата — што ги опфаќа практично сите мејнстрим Linux дистрибуции — сте изложени.“

Иако големите Linux дистрибуции почнаа да испорачуваат закрпи преку ажурирања на kernel, главниот аналитичар за ранливости во Tharros, Will Dormann, забележа дека во моментот на објавата на извештајот на Theori сè уште немало „официјални ажурирања“.

Во петокот, CISA го додаде пропустот „Copy Fail“ во својот каталог Known Exploited Vulnerabilities (KEV) и им наложи на федералните цивилни извршни агенции (FCEB) да ги закрпат своите Linux крајни точки и сервери во рок од две недели, односно до 15 мај, согласно Binding Operational Directive (BOD) 22-01.

„Овој тип на ранливост е чест вектор за напади од страна на злонамерни сајбер-актери и претставува значителен ризик за федералното опкружување,“ предупреди американската агенција за сајбер-безбедност.

„Применете мерки за ублажување според упатствата на производителот, следете ја релевантната BOD 22-01 насока за cloud сервиси или прекинете со користење на производот ако нема достапни мерки за ублажување.“

Иако BOD 22-01 се однесува само на американските владини агенции, CISA ги повика сите безбедносни тимови што е можно побрзо да ги заштитат своите мрежи, со приоритет на закрпите за CVE-2026-31431.

Претходно минатиот месец, Linux дистрибуциите закрпија уште една високо-сериозна ранливост за ескалација на привилегии до root (следена како CVE-2026-41651 и наречена „Pack2TheRoot“), која постоела повеќе од една деценија во PackageKit daemon-от.

Извори:

• Bleeping Computer – CISA says ‘Copy Fail’ flaw now exploited to root Linux systems Bleeping Computer