„Copy Fail“

Stell dir vor, ein simples Python-Skript von gerade einmal 732 Bytes reicht aus, um auf einem streng gesicherten Linux-Server in Sekundenschnelle vollständige Root-Rechte zu übernehmen. Ohne gestohlene Passwörter und ohne verräterische Spuren auf der Festplatte zu hinterlassen.

Genau das ist mit der Schwachstelle „Copy Fail“ (CVE-2026-31431) Realität geworden. Der Fehler schlummerte unentdeckt seit 2017 im Linux-Kernel und betrifft praktisch alle gängigen Distributionen. Wir zeigen dir, wie die Lücke funktioniert und wie du deine Systeme jetzt sofort absicherst.

Copy Fail – Der technische Hintergrund: Ein fataler Logikfehler im RAM

Das Tückische an Copy Fail (CVSS-Score 7.8) ist die Art und Weise, wie die Schwachstelle ausgenutzt wird. Der Kern des Problems liegt tief im Crypto-Subsystem des Linux-Kernels, genauer gesagt im Modul algif_aead. Durch einen simplen Logikfehler können unprivilegierte Nutzer den sogenannten Page Cache – den Arbeitsspeicher-Puffer für Dateizugriffe – manipulieren.

Normalerweise schützt das Betriebssystem schreibgeschützte Systemdateien rigoros. Bei Copy Fail trickst der Angreifer das System jedoch aus, indem er nicht auf die Festplatte schreibt, sondern gezielt die geladene Datei direkt im RAM (Arbeitsspeicher) verändert.

Das macht den Angriff besonders perfide:

• Unsichtbar für Scanner: Da die eigentliche Datei auf dem Datenträger unberührt bleibt, schlagen herkömmliche Integritätsprüfungen keinen Alarm.
• Keine Spuren nach Reboot: Sobald das System neu gestartet wird, wird der Arbeitsspeicher geleert. Das System ist wieder „sauber“, was eine spätere forensische Analyse massiv erschwert.

Warum die Cloud jetzt brennt (Stichwort: Container-Escape)

Für Betreiber von Cloud-Infrastrukturen und Rechenzentren ist Copy Fail ein absolutes Albtraum-Szenario. In modernen Container-Umgebungen (wie Docker oder Kubernetes) wird der Page Cache aus Performance-Gründen oft über Container-Grenzen hinweg vom Host-System geteilt.

Das bedeutet: Ein Angreifer, der sich Zugriff auf einen eigentlich strikt isolierten, unprivilegierten Container verschafft hat, kann diese Lücke nutzen, um aus dem Container auszubrechen. Er manipuliert den geteilten Speicher, übernimmt das Host-System und hat damit potenziell Zugriff auf alle anderen Container, die auf demselben Server laufen.

Wer ist betroffen?

Kurz gesagt: Fast jeder. Wenn dein Linux-System einen Kernel nutzt, der zwischen 2017 und April 2026 kompiliert wurde, bist du sehr wahrscheinlich angreifbar. Zu den betroffenen Systemen gehören unter anderem:

• Ubuntu (inklusive 24.04 LTS)
• Red Hat Enterprise Linux (RHEL)
• Amazon Linux
• SUSE

Copy Fail: Handlungsempfehlung: So sicherst du deine Systeme ab

1. Das ultimative Heilmittel: Patchen! Die großen Linux-Distributionen haben umgehend reagiert und gepatchte Kernel-Versionen zur Verfügung gestellt. Der absolut wichtigste Schritt ist jetzt: Updates einspielen!

• Debian/Ubuntu: sudo apt-get update && sudo apt-get upgrade
• RHEL/CentOS/Amazon Linux: sudo dnf update kernel (oder yum update kernel)

WICHTIG: Da es sich um ein Kernel-Update handelt, ist ein vollständiger Neustart (Reboot) des Servers zwingend erforderlich, damit der neue Kernel geladen wird und der RAM von potenziellen Manipulationen bereinigt ist.

2. Der Notfall-Workaround Sollte ein sofortiger Neustart eines kritischen Systems absolut unmöglich sein, lässt sich die Angriffsfläche reduzieren, indem man das betroffene Kernel-Modul auf eine Blacklist setzt. Führe dazu als Root folgenden Befehl aus:

Bash

echo "blacklist algif_aead" > /etc/modprobe.d/copyfail-fix.conf

Achtung: Dies ist lediglich eine temporäre Übergangslösung. Sie blockiert bestimmte Krypto-Funktionen im Kernel, was je nach aufgesetzter Software zu Fehlfunktionen bei anderen Diensten führen kann. Ein echtes Kernel-Update kann dadurch nicht ersetzt werden.

Fazit

Copy Fail beweist einmal mehr: Auch quelloffene, weltweit von Tausenden Experten überprüfte Systeme wie der Linux-Kernel sind vor Logikfehlern nicht gefeit, die ein ganzes Jahrzehnt unentdeckt bleiben. Wer seine Linux-Server in diesen Tagen nicht umgehend patcht, lässt die virtuelle Vordertür sperrangelweit offen stehen.

Sicherheitslücke Linux CVE‑2026‑31431 („Copy Fail“)

Die Schwachstelle CVE‑2026‑31431 („Copy Fail“) betrifft praktisch alle Linux‑Distributionen, die Kernel verwenden, die zwischen 2017 und der Veröffentlichung des Fix (https://github.com/torvalds/linux/commit/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5) gebaut wurden.

Entdecke Linux.

• Samsung räumt auf: Beliebtes Notes-Feature wird ab August 2026 eingestellt
• Copy Fail (CVE-2026-31431): Die unsichtbare Linux-Lücke, die Admins den Schlaf raubt
• 🔒 USB-Ports unter Windows mit einem Passwort schützen: So funktioniert der Registry-Trick!
• Windrose im Early Access: Das Piraten-Survival-Spiel, auf das wir alle gewartet haben?
• Google auf dem Windows-Desktop: Die neue Such-App bringt Gemini direkt zu dir!