Nueva vulnerabilidad 'Copy Fail' en Linux permite acceso root

Investigadores de ciberseguridad han revelado detalles sobre una vulnerabilidad de escalada de privilegios locales en Linux que podría permitir a un usuario local no autenticado obtener acceso root. La vulnerabilidad, rastreada como CVE-2026-31431, tiene un puntaje CVSS de 7.8.

La vulnerabilidad de alta gravedad, apodada Copy Fail por Xint.io y Theori, permite a un usuario local no autenticado escribir cuatro bytes controlados en la caché de página de cualquier archivo legible en un sistema Linux, lo que le permite obtener acceso root. El equipo de investigación de vulnerabilidades de Xint.io y Theori explicó que esta falla se origina en un error lógico en el subsistema criptográfico del núcleo de Linux, específicamente dentro del módulo algif_aead. El problema fue introducido en un commit de código fuente realizado en agosto de 2017.

La explotación exitosa de esta vulnerabilidad podría permitir que un simple script de Python de 732 bytes edite un binario setuid y obtenga acceso root en prácticamente todas las distribuciones de Linux lanzadas desde 2017, incluyendo Amazon Linux, RHEL, SUSE y Ubuntu. La explotación en Python implica cuatro pasos.

Aunque la vulnerabilidad no es explotable de forma remota de manera aislada, un usuario local no autenticado puede obtener acceso root simplemente corrompiendo la caché de página de un binario setuid. Este mismo principio también tiene impactos entre contenedores, ya que la caché de página se comparte entre todos los procesos en un sistema.

En respuesta a la divulgación, las distribuciones de Linux han emitido sus propios avisos. Copy Fail tiene ecos en Dirty Pipe (CVE-2022-0847), otra vulnerabilidad de escalada de privilegios locales en el núcleo de Linux que podría permitir a usuarios no autenticados insertar datos en la caché de página de archivos de solo lectura y, en última instancia, sobrescribir archivos sensibles en el sistema para lograr la ejecución de código.

David Brumley de Bugcrowd comentó: «Copy Fail pertenece a la misma clase de primitiva, en un subsistema diferente». La optimización en su lugar de 2017 en algif_aead permite que una página de caché termine en la lista de dispersión de destino escribible del núcleo para una operación AEAD enviada a través de un socket AF_ALG. Un proceso no privilegiado puede entonces impulsar splice() en ese socket y completar una escritura pequeña y dirigida en la caché de página de un archivo que no posee.

Lo que hace que esta vulnerabilidad sea peligrosa es que puede ser activada de manera confiable y no requiere ninguna condición de carrera o desplazamiento del núcleo. Además, la misma explotación funciona en diferentes distribuciones. Un portavoz de Xint.io declaró: «Esta vulnerabilidad es única porque tiene cuatro propiedades que casi nunca aparecen juntas: es portátil, pequeña, sigilosa y cross-container. Permite a cualquier cuenta de usuario, sin importar cuán básica sea, aumentar su privilegio a acceso total de administrador. También les permite eludir el sandboxing y funciona en todas las versiones y distribuciones de Linux.»

Fuente:
https://thehackernews.com/2026/04/new-linux-copy-fail-vulnerability.html

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.