Copy Fail: 732 Bytes reichen – Linux weltweit kompromittiert
CVE-2026-31431: Die gefährlichste Linux-Schwachstelle seit Jahren. Jeder lokale User wird Root – auf jeder Distribution seit 2017.
algif_aead-Modul deaktivieren (vor dem Kernel-Patch)
Solange der Kernel-Patch noch nicht eingespielt ist: Deaktiviere das verwundbare Crypto-Modul algif_aead als temporären Schutz. Die Änderung ist persistent über Reboots.
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf rmmod algif_aead 2>/dev/null || true
Erfordert Root-Rechte. Wirkung sofort, persistent über Reboots. Ersetzt nicht den finalen Kernel-Patch.
Ein globaler Sicherheits-GAU
Am 29. April 2026 wurde eine neue kritische Schwachstelle im Linux-Kernel veröffentlicht: Copy Fail (CVE-2026-31431). Was zunächst wie ein weiterer Bug klingt, ist in Wahrheit eine der gefährlichsten Linux-Schwachstellen seit Jahren.
Was Copy Fail ermöglicht:
Root-Zugriff für jeden lokalen Benutzer
Exploit in nur 732 Bytes Python-Code
Keine besonderen Voraussetzungen nötig
100 % zuverlässig reproduzierbar
Kurz gesagt: Ein normaler User wird innerhalb von Sekunden Systemadministrator (root) – auf praktisch jeder Distribution: Ubuntu, Debian, RHEL, SUSE, Amazon Linux.
Technischer Hintergrund
Die Schwachstelle sitzt tief im Linux-Kernel – genauer im Crypto-Subsystem (AF_ALG-Schnittstelle), kombiniert mit Speicheroperationen im Page Cache.
Der Angriffsablauf:
- 1.Der Angreifer nutzt
splice()um Page-Cache-Seiten in das Crypto-Subsystem (AF_ALG) zu übergeben. - 2.Die
algif_aead-Implementierung (In-Place-Optimierung seit 2017) schreibt 4 Bytes über die Scatterlist-Grenze hinaus. - 3.Diese 4 Bytes verändern den Page Cache einer setuid-Binary (z. B.
/usr/bin/su). - 4.Da
execveden Page Cache liest, wird die manipulierte Version ausgeführt → Root.
Das Perfide daran:
- • Die Datei auf der Festplatte bleibt unverändert
- • Nur der RAM wird manipuliert → kaum erkennbare Spuren
- • Kein inotify, keine Checksum-Abweichung auf Disk
- • Nach Reboot oder Cache-Eviction ist alles wieder clean
Klassische Sicherheitsmechanismen und forensische Disk-Images greifen hier nicht.
Verifizierte Distributionen
Dasselbe Exploit-Binary funktioniert unverändert auf jeder Distribution. Direkt verifiziert wurden:
Ubuntu 24.04 LTS
6.17.0-1007-aws
Amazon Linux 2023
6.18.8-9.213.amzn2023
RHEL 10.1
6.12.0-124.45.1.el10_1
SUSE 16
6.12.0-160000.9-default
Alle weiteren Distributionen mit betroffenen Kernels (Debian, Arch, Fedora, Rocky, Alma, Oracle, Embedded) verhalten sich identisch.
Vergleich mit bekannten Linux-Exploits
| Exploit | Schwierigkeit | Voraussetzung | Zuverlässigkeit | Zeitfenster |
|---|---|---|---|---|
| Dirty COW | Mittel | Race Condition / Timing | 30–80 % | Schmaler Bereich |
| Dirty Pipe | Mittel | Kernel ≥ 5.8 + Patches | Teilweise | 5.8 → Patch |
| Copy Fail | Trivial | Lokaler User reicht | 100 % | 2017 → 2026 (9 Jahre) |
Copy Fail ist kein Glücksspiel – es ist ein garantierter Root-Exploit. Kein Race, keine Offsets, keine Recompilation.
Warum Container dich NICHT retten
Viele Unternehmen denken: „Wir sind sicher – wir nutzen Container." Falsch.
Container haben keinen eigenen Kernel – sie teilen sich den Host-Kernel
Der Page Cache ist host-weit geteilt – nicht pro Container isoliert
Ein Pod mit den richtigen Primitives kompromittiert den Node und überschreitet Tenant-Grenzen
Copy Fail ist ein Container-Escape-Primitiv, nicht nur eine LPE
Copy Fail hebelt damit komplette Kubernetes-, Docker- und CI-Umgebungen aus.
Wer ist besonders gefährdet?
Multi-Tenant Hosts
Shared Dev-Boxen, Jump Hosts, Build Server – überall, wo mehrere Benutzer einen Kernel teilen.
Kubernetes / Docker
Der Page Cache ist host-weit geteilt. Ein Pod kompromittiert den Node und überschreitet Tenant-Grenzen.
CI/CD Runner
GitHub Actions Self-hosted, GitLab Runner, Jenkins – jeder Runner, der untrusted PR-Code auf einem shared Kernel ausführt.
Cloud SaaS
Notebook-Hosts, Agent-Sandboxen, Serverless-Funktionen – jede Umgebung, die Tenant-Code auf einem Linux-Kernel ausführt.
Hosting-Provider
Shared Hosting mit mehreren Kunden auf einem System – Root-Zugriff für jeden Benutzer.
MSP-Infrastrukturen
Managed Service Provider mit zentralen Linux-Systemen für Kundenbetreuung.
Besonders kritisch: Systeme, auf denen untrusted Code läuft.
Disclosure Timeline
Meldung an Linux Kernel Security Team
Erstbestätigung
Patches vorgeschlagen und geprüft
Patch in Mainline committed
CVE-2026-31431 zugewiesen
Öffentliche Disclosure (copy.fail)
Sofortmaßnahmen (Wasacon Empfehlung)
Kernel sofort patchen
Distributionspaket auf einen Kernel mit Mainline-Commit a664bf3d603d aktualisieren. Alle großen Distributionen liefern den Fix.
algif_aead deaktivieren
Vor dem Patch: echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf && rmmod algif_aead
AF_ALG via seccomp blocken
Für Container und CI-Runner: AF_ALG-Socket-Erstellung per seccomp-Profil unterbinden – unabhängig vom Patch-Status.
Monitoring & IMA
Kernel-Logs auf ungewöhnliche Privilege Escalation prüfen. IMA Appraisal im Enforcing-Mode fängt korrupte Binaries bei execve ab.
Zugriff minimieren
Keine unnötigen lokalen Benutzer. SSH-Härtung. Kein untrusted Code auf produktiven Systemen.
Forensik beachten
Die Manipulation hinterlässt keine Spuren auf der Festplatte – nur im RAM. Nach Reboot ist alles clean. IMA und sha256sum erkennen die Korruption nur im Live-Cache.
Wasacon Einschätzung
Copy Fail ist kein „normaler Bug". Es ist ein fundamentaler Architekturfehler, der zeigt:
- 👉 Wie fragil selbst stabile Systeme sind, die jahrelang als sicher galten
- 👉 Wie gefährlich Kernel-Level Bugs sind – weit jenseits von Firewalls und EDR
- 👉 Wie schnell ein gesamtes System kippen kann – mit nur 732 Bytes
Firewalls, EDR, MFA? Alles nutzlos, wenn der Kernel kompromittiert wird. Dein größtes Risiko sitzt nicht im Netzwerk – sondern im Kernel.
Handlungsbedarf ist sofort. Nicht nächste Woche. Jetzt.
Linux-Sicherheitscheck & Kernel-Patch-Beratung
Ist dein Unternehmen bereits kompromittiert? Läuft untrusted Code auf deinen Linux-Systemen? Wir prüfen deine Systeme und helfen dir, die Lücke sofort zu schließen.
Unsere Erstbewertung beinhaltet:
- Kernel-Version-Check auf allen Linux-Systemen
- AF_ALG / algif_aead Status-Prüfung
- Container- und CI/CD-Sicherheitsaudit
- Patch-Rollout-Planung mit minimaler Downtime
Häufige Fragen (FAQ)
Linux-Sicherheit für Unternehmen im Kreis Heinsberg
Copy Fail betrifft jedes Linux-System – auch Server und Container in Unternehmen in Heinsberg (52525), Erkelenz (41812), Wegberg, Wassenberg oder Hückelhoven (41836). Auch Betriebe in Aachen, Mönchengladbach (41061), Geilenkirchen (52511), Jülich, Düren und Krefeld sollten ihre Linux-Infrastruktur umgehend prüfen und patchen.
Wasacon unterstützt Unternehmen im gesamten Kreis Heinsberg und Großraum NRW bei Kernel-Patching, Container-Security und Linux-Sicherheitsaudits – vom Erstcheck bis zur vollständigen Absicherung.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
