Kritieke Linux-fout ‘Copy Fail’ maakt miljoenen systemen kwetsbaar

De kwetsbaarheid treft een brede waaier aan Linux-kernels, van versie 4.14 tot en met 6.19.12. Dat betekent dat miljoenen systemen potentieel kwetsbaar zijn, van servers en werkstations tot embedded apparaten. De kern van het probleem zit in de manier waarop Linux bepaalde gegevens in het geheugen verwerkt. Via een combinatie van de AF_ALG-socketinterface en de splice()-systeemoproep kunnen aanvallers kleine stukjes data in het geheugen aanpassen. Dat klinkt onschuldig, maar die minieme wijziging volstaat om beveiligde systeembestanden te manipuleren.

Daardoor kan een gebruiker met beperkte toegang zichzelf uiteindelijk rootrechten geven. En eenmaal iemand roottoegang heeft, ligt in principe het volledige systeem open. Onderzoekers vergelijken het probleem met iemand die stiekem het naamplaatje van de directeur verwisselt met dat van de conciërge. Plots krijgt die laatste toegang tot alles, terwijl niemand meteen doorheeft wat er gebeurd is.

Kwetsbaarheid zat jarenlang verborgen in Linux

Wat ‘Copy Fail’ extra gevaarlijk maakt, is dat de aanval relatief eenvoudig uit te voeren zou zijn. Veel eerdere Linux-kwetsbaarheden waren afhankelijk van zogenaamde ‘race conditions’, waarbij aanvallers perfecte timing nodig hadden om in hun opzet te slagen. Bij Copy Fail is dat niet het geval. Volgens onderzoekers gaat het om een stabiele en voorspelbare exploit die geen ingewikkelde timing vereist. Dat verlaagt de drempel voor misbruik aanzienlijk.

Opvallend is vooral dat de fout al bijna negen jaar in de Linux-kernel aanwezig zou zijn zonder ontdekt te worden. Onderzoekers van het Xint Code Research Team vonden de kwetsbaarheid tijdens onderzoek naar de Linux-cryptosubsystemen. Daarbij speelde AI blijkbaar ook een rol. Volgens het onderzoeksteam werd de analyse ondersteund door AI-tools die hielpen om de volledige cryptoinfrastructuur van Linux sneller door te lichten.

Zo controleer je of je systeem kwetsbaar is

De eenvoudigste oplossing blijft het updaten van je Linux-kernel naar een gepatchte versie. Distributies zullen de beveiligingsupdate normaal gezien via hun pakketbeheer verspreiden. Gebruikers kunnen controleren of de kwetsbare module actief is met het volgende commando:

dpkg -l kmod grep -qE '^algif_aead ' /proc/modules && echo "Affected module is loaded" || echo "Affected module is NOT loaded"

Verschijnt de melding ‘Affected module is loaded’, dan is extra voorzichtigheid aangewezen en installeer je best zo snel mogelijk de nieuwste updates.

Tijdelijke oplossing

Wie nog geen gepatchte kernel heeft, kan de kwetsbare module voorlopig uitschakelen met:

install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf

Daarna kan de module uit het geheugen verwijderd worden via:

rmmod algif_aead

Dat is geen definitieve oplossing, maar het kan het risico wel beperken tot er een officiële patch beschikbaar is voor jouw distributie. Hoewel Linux minder vaak geviseerd wordt dan Windows, toont Copy Fail nogmaals aan dat ook open-sourceplatformen ernstige beveiligingsproblemen kunnen bevatten. Zeker omdat deze kwetsbaarheid zo lang onopgemerkt bleef én relatief eenvoudig misbruikt kan worden, raden onderzoekers aan om updates niet uit te stellen.

• Lees ook: PowerToys-update brengt slimme Linux-feature naar Windows 11