Mobile-Menu

Local privilege escalation bis zu Root-Rechten „Copy Fail“-Sicherheitslücke im Linux-Kernel wird in Angriffen ausgenutzt

Von Melanie Staudacher 2 min Lesedauer

Eine Schwachstelle im Linux-Kernel bedroht alle großen Versionen seit 2017 und ermöglicht eine Eskalation bis Root. Patches und ein Workaround sind verfügbar, gängige Distributionen stellen aktualisierte Kernel bereit.

Durch einen Logikfehler im Codepfad des Kernel‑Moduls „algif_aead“ können unprivilegierte Nutzer über eine fehlerhafte Fehlerbehandlung beim Kopieren („copy fail“) einen gezielten 4‑Byte‑Schreibzugriff in den Page‑Cache auslösen und so im Speicher gehaltene Binaries manipulieren.(Bild: © Duminda - stock.adobe.com)
Durch einen Logikfehler im Codepfad des Kernel‑Moduls „algif_aead“ können unprivilegierte Nutzer über eine fehlerhafte Fehlerbehandlung beim Kopieren („copy fail“) einen gezielten 4‑Byte‑Schreibzugriff in den Page‑Cache auslösen und so im Speicher gehaltene Binaries manipulieren.
(Bild: © Duminda - stock.adobe.com)

Ende April vermeldete Linux eine Schwachstelle, die es Angreifern in bestimmten Kernel-Versionen ermöglicht, sich Root-Rechte zu verschaffen. Die Sicherheitslücke wird als EUVD­2026-24639 / CVE-2026-31431 (CVSS-Score 7.8, EPSS-Score* 3.98) gelistet und bereits aktiv ausgenutzt, weswegen die CISA sie am 1. Mai in ihren KEV-Katalog aufgenommen hat.

In vier Schritten zu Root-Rechten

Betroffen von dieser Schwachstelle sind die größeren Linux-Distributionen seit 2017. Das könnte Millionen von Server weltweit anfällig für Cyberattacken machen. Konkret sind diese Linux-Ver­sionen betroffen von EUVD-2026-24639 / CVE-2026-31431:

  • 4.14.x, End Of Life: kein offizieller Upstream-Fix
  • 5.10.x, alle Versionen vor 5.10.254 betroffen
  • 5.15.x, alle Versionen vor 5.15.204 betroffen
  • 6.1.x, alle Versionen vor 6.1.170 betroffen
  • 6.6.x, alle Versionen vor 6.6.137 betroffen
  • 6.12.x, alle Versionen vor 6.12.85 betroffen
  • 6.18.x, alle Versionen vor 6.18.22 betroffen
  • 6.19.x, alle Versionen vor 6.19.12 betroffen
  • Mainline: alle Versionen, in denen der Commit „72548b093ee3“ enthalten ist und noch keiner der Fix-Commits, also praktisch alle Versionen vor 7.0

Entdeckt haben die Schwachstelle die Forscher der beiden Cybersecurity-Unternehmen Xint und Theori. Sie erläutern, wie lokale Angreifer ohne Privilegien sich Root-Rechte verschaffen können. Die Art der Schwachstelle bezeichnen sie als „Copy Fail“. Dem Bericht nach bedeutet dies dass ein Fehler in der Behandlung fehlgeschlagener Kopieroperationen im Krypto‑Sub­system des Kernels einen gezielten 4‑Byte‑Schreibzugriff in den Page‑Cache ermöglicht. Dadurch können im Speicher gehaltene privilegierte Binaries manipuliert und Root‑Rechte erlangt werden.

Die Analysten beschreiben die vier Schritte, die ausreichen, um Systeme anzugreifen:

  • 1. Im ersten Schritt wird das „AF_ALG“-Socket eingerichtet, welches standardmäßig für alle Nutzer verfügbar ist und keine Privilegien erfordert.
  • 2. Als nächstes wird eine Shellcode-Payload erstellt.
  • 3. Aufgrund des Logikfehlers in dem Krypto-Modul werden genau vier Bytes in eine in den Speicher geladene Kopie von „/usr/bin/su oder /etc/passwd“ geschrieben.
  • 4. Wenn das betroffene System das manipulierte Programm ausführt, startet der eingeschleuste Code mit Root-Rechten.

Patches und Workaround

Der aktualisierte Linux-Quellcode steht bereits zur Verfügung. Und für die Versionen 6.18.22, 6.19.12 und 7.0 hat Developer Greg Kroah-Hartman bereits erste Patches sowie weitere Back­ports angekündigt. Die meisten Linux-Distributoren, darunter Ubuntu, Red Hat, Amazon, Suse und Debian, stellen ebenfalls bereits korrigierte Pakete bereit. Nutzer sollten diese schnellstmöglich installieren.

Wer nicht sofort patchen kann, kann mit diesem Workaround übergangsweise Abhilfe schaffen:

  • 1. Patchen Sie den Kernel. Der Fix stellt den „AF_ALG-AEAD“-Betrieb der Linux-Socket-Schnitt­stelle auf „Out-of-Place“ um, wodurch Seiten des Page-Caches aus der beschreibbaren Scatterlist entfernt werden.
  • 2. Aktualisieren Sie das Kernel-Paket Ihrer Distribution. Die gängigen Distributionen sollten den Fix im Rahmen regulärer Kernel-Updates bereitstellen.
  • 3. Zur sofortigen Risikominimierung können Sie die Erstellung von „AF_ALG“-Sockets mittels „seccomp“ blockieren oder das Modul „algif_aead“ auf die Blacklist setzen. Nutzen Sie dafür diesen Behfel „echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf rmmod algif_aead 2>/dev/null“

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50835489)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte