⚡️От RCE до root за один шаг — 15 мая 2026 г. в 08:07:42.832
⚡️От RCE до root за один шаг В конце апреля стало известно о серьезной уязвимости в ядре Linux - CVE-2026-31431 (широко известной как Copy Fail). Это локальная уязвимость повышения привилегий, которая позволяет несанкционированно получить права администратора. Суть уязвимости В Linux есть специальный сокет-интерфейс, который позволяет программам напрямую использовать криптографические алгоритмы ядра через Linux Kernel Crypto API. Он называется AF_ALG. В 2017 году в него добавили оптимизацию, что повлекло за собой логическую ошибку. Из-за этой ошибки при работе с данным интерфейсом некорректно (с недостаточной проверкой) передаются ссылки на элементы, что позволяет записать несколько контролируемых байтов в страничный кэш (Page Cache). Проще говоря, обычный пользователь может изменить программу прямо в памяти системы, т.к. содержимое файлов в первую очередь отдается из страничного кэша, который и был подменен. Если это системная программа с правами администратора, то при её запуске атакующий получает полный root-доступ. Почему это опасно? 🔘Ошибка существует с 2017 года и затрагивает почти любой дистрибутив, вышедший после этой даты (а это большинство версий Linux). Да, она оставалась незамеченной почти 10 лет! 🔘Эксплуатация очень простая: для атаки достаточно короткого кода на Python (всего 732 байта). 🔘Сложно обнаружить атаку, т.к. эксплойт использует легитимные системные вызовы, неотличимые от штатной работы приложений. 🔘На данный момент существует уже более 160 вариантов эксплойтов для Copy Fail - уязвимость активно эксплуатируется в дикой среде. 🔘Последствия атаки: root-доступ ведет к полному контролю над системой, краже данных, разрушению окружения, удалению журналов и т.п. Почему мы об этом пишем? Да, CVE-2026-31431 – локальная уязвимость. Но локальный доступ сегодня чаще всего получают через уязвимости незащищенного веб-приложения. Простая цепочка: злоумышленник получает shell через веб-эксплойт (RCE-атака), дальше он легко использует Copy Fail и становится root. WAF не исправляет CVE-2026-31431, но может не допустить ее эксплуатацию, заблокировав злоумышленника еще «на подлете». Поэтому защита веба сегодня – это не просто про то, чтобы «сайт не взломали». Это важная составляющая комплексной защиты всей инфраструктуры компании.