Cloudflare đối phó lỗ hổng Copy Fail trên Linux
"The "Copy Fail" vulnerability (CVE-2026-31431) is a local privilege escalation flaw in the Linux kernel's crypto API, specifically within the AF_ALG socket family and algif_aead module. An unprivileged user can exploit this by manipulating the page cache through `splice()` and `recvmsg()` to overwrite parts of setuid binaries like `/usr/bin/su`, gaining root access. Cloudflare assessed the vulnerability upon disclosure and confirmed existing behavioral detections could identify the exploit, with no impact to their environment."
Lỗ hổng leo thang đặc quyền cho phép kẻ tấn công giành quyền root trên hệ thống Linux. Việc khai thác thành công có thể dẫn đến mất kiểm soát hệ thống và rò rỉ dữ liệu.
Các doanh nghiệp sử dụng Linux cần cập nhật kernel lên phiên bản đã vá lỗi. Việc không vá lỗi có thể dẫn đến gián đoạn dịch vụ và thiệt hại uy tín.
Cloudflare xác nhận phát hiện và ngăn chặn khai thác lỗ hổng "Copy Fail" (CVE-2026-31431) trên hệ thống của họ. Lỗ hổng leo thang đặc quyền cục bộ này ảnh hưởng đến kernel Linux, cụ thể là trong AF_ALG socket family và algif_aead module.
Đây là thông tin quan trọng với các kỹ sư và doanh nghiệp Việt Nam đang sử dụng Linux, đặc biệt là các hệ thống cần bảo mật cao. Cloudflare đã có sẵn các cơ chế phát hiện hành vi bất thường để nhận diện mẫu khai thác này.
Nền tảng
Cloudflare vận hành cơ sở hạ tầng Linux toàn cầu với quy mô lớn, tại 330 thành phố. Họ sử dụng kernel Linux tùy chỉnh dựa trên các phiên bản LTS (Long-Term Support) để quản lý cập nhật hiệu quả. Các bản cập nhật bảo mật và ổn định được tích hợp vào kernel hàng tuần, trải qua kiểm thử trước khi triển khai toàn cầu qua quy trình Edge Reboot Release (ERR) theo chu kỳ 4 tuần. Control plane infrastructure thường sử dụng kernel mới nhất.
Về lỗ hổng Copy Fail
Lỗ hổng này liên quan đến cách kernel Linux xử lý mã hóa. Một chương trình không đặc quyền có thể thao tác page cache thông qua splice() và recvmsg() để ghi đè lên các binary setuid như /usr/bin/su, từ đó giành quyền root. Chi tiết kỹ thuật có tại bài viết gốc của Xint Code.
Khai thác thành công yêu cầu:
- Mở socket AF_ALG và liên kết với template AEAD.
- Thiết lập khóa và chấp nhận request socket.
- Gửi dữ liệu qua
sendmsg()hoặcsplice(). - Thực thi thao tác bằng
recvmsg().
splice() đóng vai trò quan trọng vì nó chuyển dữ liệu bằng cách sử dụng tham chiếu page cache. Lỗ hổng xảy ra do thiếu kiểm soát biên khi ghi dữ liệu, cho phép kẻ tấn công ghi đè lên các file trong page cache.
Cách Cloudflare ứng phó
Khi lỗ hổng được công bố, Cloudflare đã:
- Xác định phạm vi ảnh hưởng.
- Kiểm tra khả năng phát hiện hiện tại. Các cơ chế phát hiện hành vi của họ đã nhận diện được mẫu khai thác trong vòng vài phút.
- Triển khai bản vá. Đa số hệ thống của họ đã chạy phiên bản 6.12 LTS, và một số đã chuyển sang 6.18 LTS khi lỗ hổng được công bố.
Câu hỏi thường gặp
Lỗ hổng Copy Fail là gì?
Đây là lỗ hổng leo thang đặc quyền cục bộ trong kernel Linux, cho phép kẻ tấn công ghi đè lên các file hệ thống quan trọng thông qua thao tác page cache.
Cloudflare đã ứng phó với lỗ hổng này như thế nào?
Cloudflare đã xác định phạm vi ảnh hưởng, kiểm tra khả năng phát hiện hiện tại và triển khai bản vá. Hệ thống của họ đã phát hiện được mẫu khai thác trong vòng vài phút.
Lỗ hổng này ảnh hưởng đến các hệ thống Linux như thế nào?
Kẻ tấn công có thể khai thác lỗ hổng này để giành quyền root trên hệ thống Linux bị ảnh hưởng bằng cách ghi đè lên các binary setuid như /usr/bin/su.
Góc nhìn cộng đồng
Tổng hợp từ thảo luận công khai. Chỉ những ý có link nguồn. Không thêm ý kiến khi không tìm thấy.
- Hacker Newsskinfaxi
Một người dùng trên Hacker News muốn tìm hiểu thêm về chương trình phát hiện hành vi của Cloudflare, cho rằng nó có thể phát hiện khai thác mà không cần biết trước về lỗ hổng.
Xem thảo luận ➔ - Hacker Newsjohn_strinlai
Một người dùng khác nhận xét đây là phân tích kỹ thuật về cách Cloudflare ứng phó, không phải xác nhận về việc họ đã ứng phó vì lý do nào đó.
Xem thảo luận ➔ - Hacker Newsdboreham
Một người dùng thắc mắc về phần "Hunting for Exploitation", đặt câu hỏi liệu hệ thống bị xâm nhập có ghi lại chính xác những gì kẻ tấn công muốn ghi lại hay không.
Xem thảo luận ➔ - Hacker Newssrcreigh
Một người dùng khác bày tỏ sự thích thú với việc Cloudflare đã có hệ thống phát hiện khai thác tại thời điểm thực tế và muốn tìm hiểu thêm.
Xem thảo luận ➔
Góc nhìn của Orange Cloud
Theo chúng tôi, khả năng phát hiện hành vi bất thường của Cloudflare là điểm đáng chú ý. Việc này cho thấy tầm quan trọng của việc giám sát liên tục các mẫu thực thi quy trình thay vì chỉ dựa vào việc vá lỗi. Các doanh nghiệp Việt Nam có thể cân nhắc triển khai các giải pháp tương tự để tăng cường bảo mật. Bản vá lỗi đã được tích hợp vào các bản LTS, vì vậy việc cập nhật kernel thường xuyên là biện pháp phòng ngừa quan trọng.