⚡️От RCE до root за один шаг
В конце апреля стало известно о серьезной уязвимости в ядре Linux - CVE-2026-31431 (широко известной как Copy Fail). Это локальная уязвимость повышения привилегий, которая позволяет несанкционированно получить права администратора.
Суть уязвимости
В Linux есть специальный сокет-интерфейс, который позволяет программам напрямую использовать криптографические алгоритмы ядра через Linux Kernel Crypto API. Он называется AF_ALG. В 2017 году в него добавили оптимизацию, что повлекло за собой логическую ошибку.
Из-за этой ошибки при работе с данным интерфейсом некорректно (с недостаточной проверкой) передаются ссылки на элементы, что позволяет записать несколько контролируемых байтов в страничный кэш (Page Cache).
Проще говоря, обычный пользователь может изменить программу прямо в памяти системы, т.к. содержимое файлов в первую очередь отдается из страничного кэша, который и был подменен. Если это системная программа с правами администратора, то при её запуске атакующий получает полный root-доступ.
Почему это опасно?
🔘Ошибка существует с 2017 года и затрагивает почти любой дистрибутив, вышедший после этой даты (а это большинство версий Linux). Да, она оставалась незамеченной почти 10 лет!
🔘Эксплуатация очень простая: для атаки достаточно короткого кода на Python (всего 732 байта).
🔘Сложно обнаружить атаку, т.к. эксплойт использует легитимные системные вызовы, неотличимые от штатной работы приложений.
🔘На данный момент существует уже более 160 вариантов эксплойтов для Copy Fail - уязвимость активно эксплуатируется в дикой среде.
🔘Последствия атаки: root-доступ ведет к полному контролю над системой, краже данных, разрушению окружения, удалению журналов и т.п.
Почему мы об этом пишем?
Да, CVE-2026-31431 – локальная уязвимость. Но локальный доступ сегодня чаще всего получают через уязвимости незащищенного веб-приложения.
Простая цепочка: злоумышленник получает shell через веб-эксплойт (RCE-атака), дальше он легко использует Copy Fail и становится root.
WAF не исправляет CVE-2026-31431, но может не допустить ее эксплуатацию, заблокировав злоумышленника еще «на подлете». Поэтому защита веба сегодня – это не просто про то, чтобы «сайт не взломали». Это важная составляющая комплексной защиты всей инфраструктуры компании.
__________________________________________
Следите за новостями WMX
📲 MAX 📱 VK 🟧сайт
В конце апреля стало известно о серьезной уязвимости в ядре Linux - CVE-2026-31431 (широко известной как Copy Fail). Это локальная уязвимость повышения привилегий, которая позволяет несанкционированно получить права администратора.
Суть уязвимости
В Linux есть специальный сокет-интерфейс, который позволяет программам напрямую использовать криптографические алгоритмы ядра через Linux Kernel Crypto API. Он называется AF_ALG. В 2017 году в него добавили оптимизацию, что повлекло за собой логическую ошибку.
Из-за этой ошибки при работе с данным интерфейсом некорректно (с недостаточной проверкой) передаются ссылки на элементы, что позволяет записать несколько контролируемых байтов в страничный кэш (Page Cache).
Проще говоря, обычный пользователь может изменить программу прямо в памяти системы, т.к. содержимое файлов в первую очередь отдается из страничного кэша, который и был подменен. Если это системная программа с правами администратора, то при её запуске атакующий получает полный root-доступ.
Почему это опасно?
🔘Ошибка существует с 2017 года и затрагивает почти любой дистрибутив, вышедший после этой даты (а это большинство версий Linux). Да, она оставалась незамеченной почти 10 лет!
🔘Эксплуатация очень простая: для атаки достаточно короткого кода на Python (всего 732 байта).
🔘Сложно обнаружить атаку, т.к. эксплойт использует легитимные системные вызовы, неотличимые от штатной работы приложений.
🔘На данный момент существует уже более 160 вариантов эксплойтов для Copy Fail - уязвимость активно эксплуатируется в дикой среде.
🔘Последствия атаки: root-доступ ведет к полному контролю над системой, краже данных, разрушению окружения, удалению журналов и т.п.
Почему мы об этом пишем?
Да, CVE-2026-31431 – локальная уязвимость. Но локальный доступ сегодня чаще всего получают через уязвимости незащищенного веб-приложения.
Простая цепочка: злоумышленник получает shell через веб-эксплойт (RCE-атака), дальше он легко использует Copy Fail и становится root.
WAF не исправляет CVE-2026-31431, но может не допустить ее эксплуатацию, заблокировав злоумышленника еще «на подлете». Поэтому защита веба сегодня – это не просто про то, чтобы «сайт не взломали». Это важная составляющая комплексной защиты всей инфраструктуры компании.
__________________________________________
Следите за новостями WMX
📲 MAX 📱 VK 🟧сайт