Lỗ hổng "Copy Fail" trong nhân Linux mở đường tấn công root dễ dàng

Lỗ hổng "Copy Fail" trong nhân Linux mở đường tấn công root dễ dàng

Các nhà phát triển của các bản phân phối Linux lớn đã bắt đầu tung ra các bản vá để khắc phục một lỗ hổng leo thang đặc quyền cục bộ (LPE) xuất phát từ một lỗi logic nghiêm trọng.

Lỗ hổng LPE mới được công bố này, có tên gọi là Copy Fail (CVE-2026-31431), xuất phát từ một lỗi trong mẫu mã hóa authencesn của nhân Linux.

Theo giải thích từ công ty bảo mật Theori: "Một người dùng cục bộ không có đặc quyền có thể ghi bốn byte được kiểm soát vào bộ nhớ đệm trang (page cache) của bất kỳ tệp nào có thể đọc được trên hệ thống Linux, và sử dụng điều đó để có được quyền root."

Nhân hệ điều hành sẽ đọc bộ nhớ đệm trang khi tải một tệp nhị phân, do đó việc sửa đổi bản sao được lưu trong bộ nhớ đệm tương đương với việc thay đổi tệp nhị phân nhằm mục đích thực thi chương trình. Tuy nhiên, việc làm này không kích hoạt bất kỳ cơ chế phòng thủ nào tập trung vào các sự kiện hệ thống tệp như inotify.

Khai thác dễ dàng và rộng rãi

Bằng chứng khai thác khái niệm (PoC) là một đoạn script Python chỉ gồm 10 dòng, dung lượng 732 byte, có khả năng chỉnh sửa một tệp nhị phân setuid để có được quyền root trên hầu hết các bản phân phối Linux được phát hành kể từ năm 2017.

Copy Fail tương tự như các lỗi LPE khác như Dirty Cow và Dirty Pipe, nhưng những người phát hiện ra nó khẳng định rằng lỗi này không yêu cầu thắng thế trong một điều kiện tranh chấp (race condition) và có phạm vi áp dụng rộng hơn.

Mặc dù không thể khai thác từ xa một mình — do đó là LPE — nhưng nếu được kết hợp với một lỗ hổng thực thi mã từ xa (RCE) trên web, trình chạy CI độc hại hoặc sự xâm nhập SSH, nó có thể trở thành công cụ hữu ích cho một kẻ tấn công bên ngoài. Lỗi này gây lo ngại nhất đối với những người sử dụng hệ thống Linux đa người thuê (multi-tenant), container dùng chung nhân, hoặc trình chạy CI thực thi mã không đáng tin cậy.

Theo Theori, lỗ hổng này cũng đại diện cho một nguyên thủy thoát khỏi container tiềm năng có thể ảnh hưởng đến các nút Kubernetes, vì bộ nhớ đệm trang được chia sẻ trên máy chủ.

Các bản vá và vai trò của AI

Các bản phân phối Linux như Debian, Ubuntu và SUSE đã phát hành các bản vá cho vấn đề này, cũng như những người quản lý các bản phân phối khác. Red Hat ban đầu cho biết họ sẽ hoãn việc sửa chữa nhưng sau đó đã thay đổi hướng dẫn để cho biết họ sẽ đồng hành cùng các bản phân phối khác và vá lỗi kịp thời.

Lỗi hổng này đã được đánh giá mức độ nghiêm trọng Cao, 7.8 trên 10.

Nghiên cứu viên Taeyang Lee của Theori đã xác định lỗ hổng này với sự trợ giúp của phần mềm quét bảo mật AI của công ty, Xint Code. Số lượng báo cáo lỗi đã tăng vọt trong những tháng gần đây nhờ vào các công cụ tìm kiếm lỗi hỗ trợ bởi AI.

Dustin Childs, người đứng đầu nhận thức về mối đe dọa của Sáng kiến Zero Day của Trend Micro, cho rằng điều này là do các nhóm bảo mật đang sử dụng AI để săn lùng lỗi. "Có nhiều điều chúng ta có thể suy đoán để biện minh cho quy mô này, nhưng nếu Microsoft giống như các chương trình khác ngoài kia (bao gồm cả của chúng tôi), họ có khả năng đang thấy sự gia tăng trong các bài đệ trình được tìm thấy bởi các công cụ AI," ông viết vào đầu tháng này.

Nghiên cứu lỗ hổng được hỗ trợ bởi AI gần đây đã khiến chương trình Internet Bug Bounty (IBB) tạm dừng trao giải cho đến khi họ có thể hiểu cách quản lý khối lượng báo cáo ngày càng tăng.

"Lỗ hổng này cho thấy sự thay đổi trong cách các nhà nghiên cứu bảo mật tìm kiếm và phát hiện các lỗi nguy hiểm, với việc AI đóng vai trò ngày càng quan trọng trong việc tự động hóa quy trình này."

Các quản trị viên hệ thống được khuyến nghị cập nhật kernel lên phiên bản đã vá càng sớm càng tốt để giảm thiểu rủi ro bị tấn công leo thang đặc quyền.