 ve Theori ekipleri tarafından ortaya çıkarıldı
• Linux çekirdeğinin 

kriptografik alt sistemindeki mantık hatasından

 dağıtılan neredeyse tüm Linux sürümlerinde mevcut

• Yetkisiz yerel kullanıcı, herhangi bir okunabilir dosyanın sayfa önbelleğine 

 yazabiliyor
• Basit bir Python betiği kullanılarak 


• AF_ALG soketinin açılması
• Çekirdeğin önbelleğe alınmış /usr/bin/su dosyasına yazma işleminin tetiklenmesi
• Yönetici yetkileriyle tüm kısıtlamaların aşılması

• Uzaktan doğrudan tetiklenebilir değil, ancak yerel kullanıcı sistem üzerindeki 


• Sayfa önbelleğinin sistemdeki tüm süreçler arasında paylaşılması → 

 güvenlik açığı ile benzerlik gösteriyor

• Amazon Linux, Debian, Red Hat Enterprise Linux, SUSE ve Ubuntu kendi güvenlik bültenlerini yayınladı
• Kullanıcıların ilgili dağıtımların sağladığı güncellemeleri takip etmesi önem taşıyor


• Taşınabilir, küçük ve gizli yapıda olması
• Herhangi bir yarış durumu veya çekirdek ofseti gerektirmemesi
• Saldırganların açığı 

The vulnerability, dubbed "Copy Fail," was discovered by 

 and Theori teams . It stems from a logic error in the Linux kernel's cryptographic subsystem , specifically affecting the 

 module . It has been present in nearly all Linux distributions since 2017 .

The vulnerability exploits a 2017 "optimization" in the kernel's AF_ALG crypto API . When 

 is used to pass data, the kernel passes references to page cache pages rather than copying data. Due to the in-place design of the AEAD optimization, these page caches ended up chained into a writable destination scatterlist .

An unprivileged local user can write four bytes of data at a time into the page cache of any readable file using a simple Python script

This allows modification of setuid binaries such as 

The attacker can gain root (administrator) access

The exploit works unchanged across Ubuntu, RHEL, Debian, SUSE, Amazon Linux, Fedora, and most other distributions

It requires no race condition or per-distribution offsets

The file on disk is never modified, so integrity monitoring tools like AIDE and Tripwire detect nothing

Since page cache is shared across containers, this can also enable container escape on Kubernetes nodes

Major distributions have released security bulletins :

Users should follow updates provided by their respective distributions

If immediate patching is not possible, disable the 

Provine dintr-o eroare de logică în subsistemul criptografic al nucleului Linux

Afectează în special modulul algif_aead

Este prezent în aproape toate versiunile Linux distribuite începând din 2017

Un utilizator local neautorizat poate scrie date de patru octeți în cache-ul paginii oricărui fișier citibil

Folosind un simplu script Python, fișierele binare setuid pot fi modificate

Poate fi obținut acces la directorul rădăcină (root)

Declanșarea operațiunii de scriere în fișierul /usr/bin/su cache-uit de nucleu

Depășirea tuturor restricțiilor cu privilegii de administrator

Nu poate fi declanșat direct de la distanță, dar un utilizator local poate afecta toate procesele de pe sistem

Partajarea cache-ului paginii între toate procesele din sistem → poate crea efecte între containere

Prezintă similarități cu vulnerabilitatea Dirty Pipe descoperită în 2022

Actualizare de Securitate din Partea Distribuțiilor

Amazon Linux, Debian, Red Hat Enterprise Linux, SUSE și Ubuntu și-au publicat propriile buletine de securitate

Este important ca utilizatorii să urmărească actualizările furnizate de distribuțiile relevante

Caracteristicile care fac vulnerabilitatea periculoasă:

Fiind portabilă, mică și de natură ascunsă

Nu necesită nicio condiție de cursă sau offset de nucleu

Atacatorii pot exploata vulnerabilitatea în mod fiabil

• Обнаружена командами 

 и Theori
• Вызвана логической ошибкой в криптографической подсистеме ядра Linux
• Особенно затрагивает модуль algif_aead
• Присутствует практически во всех версиях Linux, распространявшихся с 2017 года

• Неавторизованный локальный пользователь может записать четыре байта данных в кэш страниц любого читаемого файла
• С помощью простого Python-скрипта можно изменять setuid-бинарные файлы
• Можно получить доступ к корневому каталогу (root)


• Открытие сокета AF_ALG
• Запуск операции записи в кэшированный файл /usr/bin/su
• Преодоление всех ограничений с правами администратора

• Не может быть инициирована удалённо, но локальный пользователь может повлиять на все процессы в системе
• Кэш страниц является общим для всех процессов в системе → может создавать межконтейнерные эффекты
• Схожа с уязвимостью Dirty Pipe, обнаруженной в 2022 году

ОБНОВЛЕНИЯ БЕЗОПАСНОСТИ ОТ ДИСТРИБУТИВОВ

• Amazon Linux, Debian, Red Hat Enterprise Linux, SUSE и Ubuntu выпустили свои бюллетени безопасности
• Пользователям важно следить за обновлениями, предоставляемыми соответствующими дистрибутивами

Особенности, делающие уязвимость опасной:


• Портативность, компактность и скрытность
• Не требует условий гонки или смещений ядра
• Позволяет злоумышленникам надёжно использовать уязвимость

Linux’ta Yıllardır Kapatılmayan Açık Tespit Edildi

Copy Fail Nasıl Çalışıyor?

Saldırı Mekanizması

Riskler ve Etkiler

Dağıtımlardan Güvenlik Güncellemesi