"Copy Fail": Zero-Day-Lücke bedroht fast alle Linux-Distros seit 2017

Eine schwerwiegende Sicherheitslücke im Linux-Kernel sorgt derzeit für Aufsehen: Die als "Copy Fail" bezeichnete Schwachstelle ermöglicht es lokalen Nutzern ohne besondere Rechte, vollständige Administratorrechte (Root-Zugriff) zu erlangen.

Kleines Skript reicht aus

Von dem Problem sind nahezu alle großen Linux-Distributionen betroffen, die seit 2017 veröffentlicht wurden. Die unter der Kennung CVE-2026-31431 geführte Lücke wurde vom Sicherheitsforscher Taeyang Lee entdeckt und anschließend von einem Forschungsteam zu einem funktionierenden Angriff weiterentwickelt. Besonders brisant ist, dass der Exploit vergleichsweise einfach umzusetzen ist: Ein lediglich 732 Byte großes Python-Skript reicht aus, um auf unterschiedlichen Systemen zuverlässig Root-Zugriff zu erhalten.

Im Kern handelt es sich um einen logischen Fehler innerhalb einer kryptografischen Komponente des Linux-Kernels. Dieser kann über eine bestimmte Schnittstelle (AF_ALG) in Kombination mit einem Systemaufruf ausgenutzt werden. Anders als frühere bekannte Linux-Sicherheitslücken erfordert "Copy Fail" weder zeitkritische Angriffe noch speziell angepasste Programme.


Der Angriff zielt auf den Page Cache ab, also den im Arbeitsspeicher gehaltenen Teil von Dateien. Durch eine gezielte Manipulation können Angreifer Inhalte im Speicher verändern, ohne dass diese Änderungen auf die Festplatte geschrieben werden. Dadurch bleiben herkömmliche Integritätsprüfungen wirkungslos. In der Folge lässt sich beispielsweise ein Systemprogramm manipulieren und mit erweiterten Rechten ausführen.

Patches verfügbar

Besonders kritisch ist zudem, dass die Schwachstelle auch in Container-Umgebungen wie Kubernetes ausgenutzt werden kann. Da sich mehrere Container denselben Speicherbereich teilen, könnten Angreifer aus einem kompromittierten Container heraus andere Bereiche des Systems beeinflussen.

Die Ursache der Lücke geht auf mehrere Änderungen im Kernel-Code zurück, die über Jahre hinweg unabhängig voneinander eingeführt wurden und erst in ihrer Kombination das Problem ermöglichten. Inzwischen wurde ein Sicherheitsupdate veröffentlicht, das die fehlerhafte Funktion korrigiert. Administratoren wird dringend empfohlen, die bereitgestellten Kernel-Updates umgehend zu installieren. Bis dahin kann als Übergangslösung das Kernel-Modul "algif_aead" deaktiviert werden, um die Angriffsfläche zu reduzieren.


Siehe auch: