背景概述

年 月，Linux Kernel 被披露存在一个高危本地权限提高漏洞：

• CVE 编号：CVE--
• 从代号来看，Copy Fail
• 漏洞类型的观点是，Local Privilege Escalation
• CVSS这方面。

受影响内核范围：

72548b093ee3 <= commit

受影响操作程序：

• Ubuntu / /
• RHEL / /
• Amazon Linux
• SUSE SLES /
• 等等

据安全团队分析，该漏洞已在 Ubuntu / RHEL / Amazon Linux / SUSE 等多发行版中被验证存在可利用方法。

漏洞复现

实验环境准备

程序这方面。受影响范围内的 Ubuntu / Amazon Linux / RHEL / SUSE 测试机

基础信息确认

通过命令排查版本

uname -r

检查内核配置

grep CONFIG_CRYPTO_USER_API_AEAD /boot/config-$

返回结果为 n 时表示彻底关闭 AEAD 使用者态接口，通常不受该攻击方法影响。返回结果为 y 时表示静态编译进内核。lsmod 查不到模块，但接口仍然存在。返回结果为 m 时表示模块方式建立，可加载即受影响

脚本检测

import sockets = socket.sockets.bind。cbc)"))print

如果以上命令可以由普通使用者执行成功，则说明关键攻击入口仍然可达

公开 poc 复现

公开 PoC 位于 Theori 仓库：github.com/ori-io/c…

https://github.com/ori-io/copy-fail-CVE--/blob/main/copy_fail_exp.py

正文不内嵌完整代码。话说回来，仅供授权环境下的安全研究与防御验证，严禁非法利用！

#!/usr/bin/env python3import os as g,zlib。socket as sdef d:return bytes.fromhexdef c:...f=g.open;i=，e=zlib.decompress)while i

该漏洞污染的是 page cache，磁盘文件本身不发生变化。在复现做文件哈希验证时可能出现现象：

下图利用后的哈希

当 page cache 被回收、机器重启，或者目标文件重新从磁盘加载后in-memory image 会恢复到磁盘上的原始内容。

恢复的哈希

漏洞分析

algif_aead

漏洞引入点对应上游提交 72548b093ee3 后的 crypto/algif_aead.c。该提交为了支持 AEAD in-place operation，解密方法会把 TX SGL 中的 tag SGL 链接到 RX SGL 后面。怎么说呢，

主要代码

/* Copy AAD || CT to RX SGL buffer for in-place operation. */err = crypto_aead_copy_sgl;/* Create TX SGL for tag and chain it to RX SGL. */areq->tsgl_entries = af_alg_count_tsgl;areq->tsgl = sock_kmalloc。areq->tsgl_entries),GFP_KERNEL);sg_init_table;/* Release TX SGL,except for tag data and reassign tag data. */af_alg_pull_tsgl; /* chain areq TX SGL holding tag with RX SGL */sg_unmark_end;sg_chain，aead_request_set_crypt;

当输入数据来自 splice 时TX SGL 里的页可能是目标文件的 page cache 页；而 sg_chain 又把这些 tag 页接到了 RX SGL 后面后续 AEAD 实现看到的 dst 就不再只是使用者态接收缓冲区

auncesn

在 crypto_aunc_esn_decrypt 中。auncesn 为了计算 ESN 认证，会临时移动 AAD 中的字段，这里的写入目标是 dst 。

关键代码如下

scatterwalk_map_and_copy;scatterwalk_map_and_copy;scatterwalk_map_and_copy;

scatterwalk_map_and_copy 表示向 scatterlist 写数据。这里的写入长度固定为 写入偏移为：

assoclen + cryptlen

在正常语义下这只是 auncesn 为处理 ESN 字段做的字段移动。老实说，但在漏洞链路中，dst 已经通过 algif_aead 接上了来自 splice 的 page cache。于是这 字节写入会越过 RX buffer，命中被链入的 page cache page。

setuid

利用并不需要直接写磁盘文件。攻击者只需要让目标 setuid binary 的页面进入 page cache，再通过 splice 把这些页面送入 AF_ALG 的 TX SGL。随后 recv style="background-color: initial;" translate="no"> 触发 AEAD decrypt path，auncesn 的 -byte 写入就能落到对应的 page cache page 上。

 

Xint 的分析指出，Copy Fail 能让本地非特权使用者对任意可读文件的 page cache 触发 deterministic、controlled

-byte 写入。不过，内核不会把这个 page 标记成 dirty。磁盘文件也不会被更新，按理说，

整体链路大致如下：

style='color:#bfbfbf;display:inline-block;padding-right:0.8em;' 


aria-hidden='true' 

style='color:#07BDDE;' 

&

scatterwalkmapand_copy(tmp
+
dst。assoclen
+
cryptlen,) 

<
/span 

>
。