Comme détaillé dans les bulletins de menace de SOCPrime et Tenable, la CVE-2026-31431 (CVSS 7.8 - Élevé) représente un contournement sévère des mécanismes fondamentaux de contrôle d’accès discrétionnaire (DAC) du noyau Linux.
Rappelant les tristement célèbres vulnérabilités Dirty COW (CVE-2016-5195) ou Dirty Pipe (CVE-2022-0847), Copy-Fail exploite une condition de course (race condition) et une mauvaise gestion d’état au sein de la couche du système de fichiers virtuel (VFS) du noyau. Plus précisément, elle cible les appels système de transfert de données hautement optimisés (comme copy_file_range ou splice). Un attaquant local peut militariser cette faille pour injecter des données malveillantes arbitraires dans des fichiers système sensibles, élevant ainsi de manière transparente ses privilèges vers root sans nécessiter d’accès administratif interactif préalable.
Le cœur de la vulnérabilité “Copy-Fail” réside dans une désynchronisation d’état entre le cache de pages (page cache) du noyau Linux et les vérifications de permissions d’écriture du système de fichiers.
Les noyaux Linux modernes optimisent fortement les opérations de copie de fichiers. Au lieu de copier les données de l’espace noyau vers l’espace utilisateur puis de nouveau vers l’espace noyau, des appels système comme copy_file_range() déplacent directement les données entre les descripteurs de fichiers au sein du noyau.
La vulnérabilité se produit lorsqu’un utilisateur mappe un fichier cible en lecture seule (ex: /etc/passwd) en mémoire en utilisant mmap() avec l’option PROT_READ, tout en ouvrant simultanément un fichier source malveillant adossé à un système de fichiers temporaire (tmpfs).
En raison d’une vérification de permission manquante lors d’une condition de course spécifique dans le sous-système de gestion de la mémoire du noyau (CWE-362), l’attaquant peut forcer le noyau à raccorder (splice) les pages malveillantes dans le cache de pages du fichier en lecture seule. Le noyau marque à tort ces pages mémoire comme “sales” (dirty — modifiées et nécessitant une synchronisation avec le disque). Lorsque les threads d’écriture en arrière-plan (flusher threads) du noyau s’exécutent, ils écrivent ces pages sales contrôlées par l’attaquant sur le disque physique, écrasant silencieusement le fichier appartenant à root malgré l’absence de permissions WRITE pour l’attaquant.
En se basant sur le PoC GitHub de rootsecdev, l’exploitation est hautement fiable et ne prend que quelques millisecondes à s’exécuter.
/etc/passwd./etc/passwd en mode lecture seule (O_RDONLY) et le mappe dans l’espace mémoire de son processus à l’aide de mmap().hacker:x:0:0::/root:/bin/bash sans mot de passe).madvise(MADV_DONTNEED) pour forcer le noyau à abandonner les pages mises en cache./etc/passwd.su hacker pour obtenir un shell root sans aucune invite de mot de passe.
Étant donné que c’est le noyau lui-même qui écrit les données sur le disque, les outils de traçage standard en mode utilisateur pourraient ne pas capter l’opération d’écrasement réelle comme provenant d’un processus malveillant. Les analystes DFIR doivent rechercher des indicateurs de compromission (IOC) secondaires.
Anomalies du système de fichiers
Examinez les dates de modification (mtime) et de changement d’état (ctime) des fichiers critiques tels que /etc/passwd, /etc/shadow, /etc/sudoers et /root/.ssh/authorized_keys. Toute modification inattendue en dehors des fenêtres de maintenance connues est un indicateur critique.
Journaux Auditd
Si l’audit Linux (auditd) est activé, recherchez l’exécution de la commande su par des utilisateurs inattendus immédiatement après des modifications de fichiers anormales, ou recherchez des appels système mmap ou copy_file_range excessifs provenant de binaires non autorisés dans /tmp/ ou /dev/shm/.
Détecter les exploits d’élévation locale de privilèges nécessite de chasser les conséquences de l’attaque plutôt que l’exploitation du bug mémoire lui-même.
title: Modification suspecte de /etc/passwd (Copie-Fail LPE potentiel)id: 9a8b7c6d-5e4f-3a2b-1c0d-9e8f7a6b5c4dstatus: experimentaldescription: Détecte la modification non autorisée du fichier /etc/passwd par des processus non administratifs, ce qui constitue le principal indicateur de post-exploitation de la vulnérabilité CVE-2026-31431 (Copy-Fail).logsource: category: file_event product: linuxdetection: selection: TargetFilename: '/etc/passwd' Action: 'modified' filter_legit: # Exclure les binaires légitimes de gestion des utilisateurs Image|endswith: - '/usr/sbin/usermod' - '/usr/sbin/useradd' - '/usr/sbin/vipw' - '/usr/bin/passwd' condition: selection and not filter_legitlevel: criticaltags: - attack.privilege_escalation - attack.t1068 - cve.2026-31431// Détecte les processus s'exécutant depuis des répertoires temporaires/inscriptibles// altérant des fichiers d'authentification critiques ou obtenant un accès root soudain.DeviceFileEvents| where ActionType == "FileModified"| where FolderPath in ("/etc/passwd", "/etc/shadow", "/etc/sudoers")// Le processus initiateur n'est pas un gestionnaire de paquets ou un binaire d'auth connu| where InitiatingProcessFileName !in ("dpkg", "apt", "yum", "usermod", "useradd")| project TimeGenerated, DeviceName, InitiatingProcessAccountName, InitiatingProcessFolderPath, FolderPath| sort by TimeGenerated descComme il s’agit d’une vulnérabilité au cœur du noyau, il existe peu de solutions de contournement efficaces qui n’impactent pas sévèrement les performances ou la stabilité du système.
seccomp restrictifs pour bloquer l’appel système copy_file_range, bien que cela puisse interrompre des applications légitimes s’appuyant sur la copie de fichiers optimisée.