Der Kern des Problems liegt im AEAD-Template „authencesn" des Linux-Kernels. Authentifizierte Angreifer, die bereits Code ausführen können, sind dadurch in der Lage, die im Speicher gehaltene Cache-Seite lesbarer setuid-root-Binaries zu manipulieren und ihre Rechte bis auf Root-Ebene auszuweiten. Die Schwachstelle war fast ein Jahrzehnt lang unentdeckt und betrifft laut Bericht sämtliche Linux-Distributionen seit 2017.
CISA stuft den Fehler als aktiv ausgenutzt ein und hat ihn entsprechend in den KEV-Katalog aufgenommen. Bundesbehörden sollen das verfügbare Update innerhalb von zwei Wochen anwenden. Details zu den beobachteten Angriffen legte die Behörde nicht offen.
Microsoft ordnet die Lage etwas genauer ein: Bislang habe man nur begrenzte Ausnutzung in freier Wildbahn registriert, die sich vor allem um das Testen von Proof-of-Concept-Code drehe. Trotz dieser bisher geringen Aktivität warnt der Konzern vor einer breiten Angreifbarkeit, zumal ein funktionsfähiger PoC-Exploit bereits öffentlich verfügbar ist.
Laut Microsoft führt eine erfolgreiche Ausnutzung zu einer vollständigen Rechteausweitung auf Root-Ebene – mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Sie könne zudem den Ausbruch aus Containern, die Kompromittierung mehrerer Mandanten und seitliche Bewegungen innerhalb gemeinsam genutzter Umgebungen begünstigen. Besonders gefährlich sei die Lücke wegen ihrer Zuverlässigkeit, ihrer Unauffälligkeit – die Veränderung erfolgt ausschließlich im Arbeitsspeicher – und ihrer plattformübergreifenden Anwendbarkeit in Cloud-, CI/CD- und Kubernetes-Umgebungen, in denen die Ausführung nicht vertrauenswürdigen Codes verbreitet ist.
Ausnutzbar sei Copy Fail durch jeden lokalen, nicht privilegierten Nutzer. Die Lücke lasse sich mit SSH-Zugang, manipulierten CI-Jobs oder Zugriff auf Container verketten, um eine Root-Shell zu erlangen. Eine typische Angriffskette beginne mit der Erkundung eines Containers, der einen verwundbaren Kernel ausführt, und setze sich mit der Ausführung eines kleinen Skripts fort, das Daten im Speicher überschreibt und die Rechte ausweitet.
Microsoft empfiehlt Organisationen, vorrangig potenziell verwundbare Systeme in ihrer Umgebung zu identifizieren, Patches einzuspielen, betroffene Systeme zu isolieren, Zugriffskontrollen umzusetzen und Protokolle auf Anzeichen einer Ausnutzung zu prüfen.