❗❗❗ "Copy Fail": kritischer root-Exploit auf allen Distributionen

Hallo,

vor wenigen Stunden ist ein Exploit namens "Copy Fail" (CVE-2026-31431) veröffentlicht worden, mit dem es unter praktisch allen Linux-Distributionen möglich ist, mit nur minimalem Aufwand root-Rechte zu erhalten:

• Heise-Newsticker: https://www.heise.de/news/Copy…Byte-Python-11277590.html
• Website: https://copy.fail/
• Status Debian: https://security-tracker.debian.org/tracker/CVE-2026-31431

Wir haben das eben mal mit Debian 11 getestet - und auf Anhieb Erfolg gehabt. :-O

Aus diesem Grund empfehlen wir dringend, möglichst schnell den im Heise Newsticker beschriebenen Workaround anzuwenden:

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf && rmmod algif_aead 2>/dev/null

Wichtig: wenn der Exploit einmal erfolgreich ausgeführt wurde, muss der Server rebootet werden! Zumindest in unseren Tests hatte ansonsten die Ausführung von su jedem Benutzer sofort root-Rechte gegeben - ohne jegliche Passwort-Abfrage.

In der Container-Umgebung (LAC) war es uns bislang nicht möglich, den Exploit auszunutzen. Zum einen sind dort keine setuid-Programme verfügbar, die als Angriffsfläche genutzt werden könnten, zum anderen befindet sich der Benutzer da in einer isolierten Umgebung, welche einen Ausbruch zusätzlich erschwert.

Viele Grüße

-Klaus Keppler

(der Vollständigkeit halber: dieser Exploit bzw. die Sicherheitslücke hat absolut nichts mit LiveConfig zu tun, sondern betrifft schlichtweg alle Linux-Server)

Nuja, das Debian-Team in allen Ehren - aber "verdammt schnell" wäre ein Datum zwischen dem Mainline-Patch (01.04.2026) und dem CVE-Assignment (22.04.2026) gewesen. Zudem patcht dieses Kernel-Update 303 (!) CVEs.

Man muss aber auch sagen, dass die Maintainer das i.d.R. alles ehrenamtlich machen, und eine Kernel-Update sicherlich das Sensibelste aller Updates sein dürfte.