Die Schwachstelle “Copy Fail” wurzelt in einem Logikfehler des Linux-Kernels, genauer gesagt im cryptografischen Subsystem, konkret im algif_aead-Modul. Dieser Fehler wurde durch einen Code-Commit aus dem August 2017 eingeführt und schlummert seither in Millionen von Linux-Systemen weltweit.
Das Angriffsverfahren ist bemerkenswert simpel: Ein unprivilegierter lokaler Benutzer kann vier kontrollierte Bytes in den Page Cache einer beliebigen lesbaren Datei des Linux-Systems schreiben und diese manipulieren, um sich Root-Zugriff zu verschaffen. Das funktioniert, indem der Angreifer einen setuid-Binary (eine ausführbare Datei mit Set-User-ID-Bit) im Page Cache korrumpiert.
Besonders besorgniserregend ist, dass die Exploit-Methode nicht nur zuverlässig funktioniert, sondern auch sogenannte “Cross-Container-Auswirkungen” hat. Dies bedeutet: Selbst in containerisierten Umgebungen (Docker, Kubernetes), die in modernen Cloud- und DevOps-Infrastrukturen verbreitet sind, kann der Page Cache zwischen Containern geteilt werden. Das Sicherheitsmodell von Containern könnte dadurch kompromittiert werden.
David Brumley von Bugcrowd ordnet die Schwachstelle ein: Copy Fail nutze dieselbe Angriffsklasse wie die bekannte Dirty Pipe-Lücke (CVE-2022-0847) aus dem Jahr 2022, operiere aber in einem anderen Kernel-Subsystem. Die Optimierung im algif_aead-Modul von 2017 ermöglicht es, dass eine Page-Cache-Seite in die beschreibbare Destination-Scatterlist des Kernels für AEAD-Operationen gelangt – was ein unprivilegierter Prozess dann über ein AF_ALG-Socket und die splice()-Funktion ausnutzen kann.
Was die Gefahr maximiert: Das Exploit ist portabel über alle Linux-Distributionen, winzig im Umfang, schwer zu detektieren und funktioniert unabhängig von Kernel-Offsets oder spezifischen Distributionsversionen. Xint.io betont: “Diese Schwachstelle ist einzigartig, weil vier Eigenschaften zusammenkommen, die fast nie gleichzeitig auftreten – sie ist portabel, klein, unauffällig und funktioniert über Container-Grenzen hinweg.”
Die Linux-Community hat bereits reagiert: Mehrere Distributoren haben Sicherheitsempfehlungen veröffentlicht. Für deutsche Unternehmen und öffentliche Behörden bedeutet dies: Umgehend alle Linux-Systeme inventarisieren, Kernel-Updates einspielen und SIEM-Systeme auf verdächtige Aktivitäten überwachen. Das BSI wird voraussichtlich konkrete Handlungsempfehlungen ausgeben.