Socket-Setup: Ein nicht privilegierter Prozess \u00f6ffnet einen AF_ALG-Socket (standardm\u00e4\u00dfig f\u00fcr alle Nutzer verf\u00fcgbar).<\/p>\n
Payload-Konstruktion: Das Skript bereitet eine winzige Shellcode-Payload vor.<\/p>\n
Page-Cache-Manipulation: \u00dcber den Logikfehler im Krypto-Modul werden gezielt vier Bytes in die im Speicher geladene Kopie von \/usr\/bin\/su oder \/etc\/passwd geschrieben.<\/p>\n
Ausf\u00fchrung: Sobald das System das manipulierte Programm ausf\u00fchrt, wird der injizierte Code mit Root-Rechten gestartet.<\/p>\n
![\"Newsletter\"](\"https:\/\/www.europesays.com\/at\/wp-content\/uploads\/2026\/02\/NL_Icon_1.png\"\/ "\\"Linux-Kernel:"){kind=icon}
![\"Newsletter\"](\"https:\/\/www.europesays.com\/at\/wp-content\/uploads\/2026\/02\/NL_Icon_1.png\" "\\"Linux-Kernel:"){kind=icon}
Cross-Container-Impact: Warum die Cloud besonders gef\u00e4hrdet ist<\/p>\n
Ein kritischer Aspekt von Copy Fail ist die Tatsache, dass der Page-Cache systemweit geteilt wird. Das bedeutet, dass die Sicherheitsl\u00fccke auch Container-Grenzen durchbricht. Ein Angreifer, der Zugriff auf einen unprivilegierten Container in einer Kubernetes-Umgebung hat, kann den Page-Cache des Host-Kernels korrumpieren. Damit sind potenziell alle anderen Mandanten (Tenants) auf demselben physischen Host gef\u00e4hrdet.<\/p>\n
Sicherheitsexperten warnen, dass dies das g\u00e4ngige Sicherheitsmodell von \u201eShared-Kernel Multi-Tenancy\u201c unter Druck setzt. Wer keine MicroVMs (wie Firecracker) oder dedizierte Hosts nutzt, muss Copy Fail als unmittelbare Bedrohung f\u00fcr seine Cloud-Infrastruktur betrachten.<\/p>\n
Ein Echo von Dirty Pipe<\/p>\n
Copy Fail erinnert technisch stark an die ber\u00fchmte \u201eDirty Pipe\u201c-L\u00fccke (CVE-2022-0847). Beide nutzen Schw\u00e4chen im Umgang mit dem Page-Cache aus. Dass Copy Fail fast neun Jahre unentdeckt blieb, liegt vermutlich daran, dass der Krypto-Code im Kernel zwar intensiv auf mathematische Korrektheit gepr\u00fcft wird, die zugrunde liegende Speicherverwaltung jedoch oft weniger im Fokus der Reviewer steht. Interessanterweise wurde die L\u00fccke laut Berichten von einer KI-gest\u00fctzten Security-Plattform innerhalb von nur einer Stunde Scan-Zeit identifiziert. Das ist ein deutliches Zeichen daf\u00fcr, wie sich die Tools zur Schwachstellensuche ver\u00e4ndern.<\/p>\n
Ubuntu, Red Hat und Amazon Linux betroffen<\/p>\n
Die gro\u00dfen Distributoren haben bereits mit Sicherheitsmitteilungen reagiert. Da die Schwachstelle im Mainline-Kernel seit 2017 existiert, ist die Liste der betroffenen Systeme lang:<\/p>\n
DistributionStatus am 30. April 2026Empfohlene Ma\u00dfnahmeUbuntuPatch verf\u00fcgbar (LTS & Stable)Kernel-Update & RebootRed Hat (RHEL)Advisory ver\u00f6ffentlichtUpdate auf aktuellste Kernel-VersionAmazon LinuxPatches in AL2023 integriertSofortiges Update einspielenSUSE \/ openSUSESicherheitsupdate verf\u00fcgbarzypper patch ausf\u00fchrenDebianFix in Stable\/Unstableapt-get upgrade<\/p>\n
Was Administratoren jetzt tun m\u00fcssen<\/p>\n
Sollten Sie Ihre Systeme nicht sofort patchen k\u00f6nnen, gibt es eine effektive \u00dcbergangsl\u00f6sung: Das Deaktivieren des betroffenen Kernel-Moduls. Da algif_aead auf den meisten Standard-Servern nicht zwingend f\u00fcr den Betrieb ben\u00f6tigt wird, kann es gefahrlos geblacklistet werden:<\/p>\n
Pr\u00fcfen: lsmod | grep algif_aead<\/p>\n
Deaktivieren: echo „blacklist algif_aead“ > \/etc\/modprobe.d\/copy-fail-mitigation.conf<\/p>\n
Entladen: rmmod algif_aead (falls nicht in Benutzung)<\/p>\n
Angesichts der Einfachheit, mit der diese L\u00fccke ausgenutzt werden kann, ist ein Aufschieben der Sicherheitsma\u00dfnahmen grob fahrl\u00e4ssig. Ein 732-Byte-Skript ist alles, was zwischen einem Hacker und Ihrem gesamten Netzwerk steht.<\/p>\n","protected":false},"excerpt":{"rendered":"Eine Sicherheitsl\u00fccke im Linux-Kernel hebelt die Rechteverwaltung auf Millionen von Servern aus. Betroffen sind alle gro\u00dfen Distributionen seit…\n","protected":false},"author":2,"featured_media":144001,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[16],"tags":[46,42,44,97,96,101,98,100,99],"class_list":{"0":"post-144000","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-wissenschaft-technik","8":"tag-at","9":"tag-austria","10":"tag-oesterreich","11":"tag-science","12":"tag-science-technology","13":"tag-technik","14":"tag-technology","15":"tag-wissenschaft","16":"tag-wissenschaft-technik"},"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@at\/116529648814987544","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/posts\/144000","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/comments?post=144000"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/posts\/144000\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/media\/144001"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/media?parent=144000"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/categories?post=144000"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/at\/wp-json\/wp\/v2\/tags?post=144000"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}