Copy Fail : 732 octets de Python suffisent pour devenir root sur (presque) tous les Linux depuis 2017

Pendant neuf ans ^[1], une porte derobee a baille dans le coeur de Linux sans que personne ne la voie. Copy Fail ^[2], officiellement repertoriee CVE-2026-31431 ^[3], permet a n’importe quel utilisateur local non privilegie d’obtenir un acces root complet ^[4] sur la quasi-totalite des distributions Linux livrees depuis 2017 ^[5]. Le tout avec un script Python de 732 octets ^[6] qui tient en dix lignes ^[7] et fonctionne du premier coup ^[8].

LES ENJEUX

Une faille dormante depuis neuf ans

Introduite en 2017 dans le module algif_aead, la vulnerabilite est restee invisible pendant neuf ans, malgre des audits reguliers du noyau Linux.

Un exploit de 732 octets, 100% fiable

Le script Python tient en dix lignes et fonctionne sans race condition, sans recompilation, sans reglage par version. Le taux de succes annonce est de 100%.

Toutes les distributions majeures touchees

Ubuntu, Debian, RHEL, SUSE, Amazon Linux, Arch, Fedora: tous les noyaux Linux compiles depuis 2017 sont vulnerables.

Risque eleve sur Kubernetes et conteneurs

Copy Fail permet une evasion de conteneur et la compromission des noeuds Kubernetes, exposant des architectures cloud entieres.

L'IA trouve ce que neuf ans d'humains ont rate

L'agent IA Xint Code de Theori a identifie la faille en une heure de scan, posant la question de la solidite reelle des audits humains du noyau.

La vulnerabilite a ete revelee publiquement le 29 avril 2026 ^[9] par l’entreprise de securite Xint.io ^[10], apres une decouverte initiale par Taeyang Lee ^[11], chercheur chez Theori ^[12]. Son score CVSS atteint 7,8/10 ^[13], avec un vecteur d’attaque local ^[14].

Une optimisation de 2017 qui se retourne contre le noyau

Le bug se loge dans algif_aead ^[16], le composant du noyau qui expose les operations de chiffrement aux programmes utilisateurs via l’interface socket AF_ALG ^[17]. Cette interface permet a n’importe quel processus, sans privilege particulier ^[18], d’invoquer le sous-systeme cryptographique du noyau.

L’origine du probleme remonte a une introduite dans le noyau 4.14 ^[19] en aout 2017 ^[20]. Entre 2011 et 2017, trois modifications du code ont ete apportees independamment ^{[21] [22]}, chacune anodine isolement, mais qui combinees ont cree une fenetre d’ecriture hors limites. Lors d’un dechiffrement AEAD, l’algorithme authencesn ^[23] ecrit quatre octets ^[24] au-dela de la zone de sortie legitime, dans des pages chainees qui referencent encore le cache de pages du fichier cible ^[25].

Concretement: un attaquant peut modifier discretement la copie en memoire d’un fichier sensible sans toucher au fichier original sur le disque ^[26]. En visant su ^[27], la commande qui permet de changer d’identite sur Linux, il devient root.

Une IA trouve en une heure ce que neuf ans d’audit humain ont rate

L’angle qui derange dans cette affaire: la faille n’a pas ete trouvee par un cerveau humain qui scrutait le code. Taeyang Lee ^[28] a glisse un prompt cible a Xint Code ^[29], l’agent IA d’audit developpe par Theori, en lui demandant d’examiner les chemins accessibles depuis l’espace utilisateur dans le sous-systeme crypto. Une heure de scan ^[30] plus tard, l’IA livrait Copy Fail comme resultat critique ^[31].

Note de transparence sur les chiffres: les sources divergent legerement sur la duree exacte. Xint.io evoque moins d’une heure ^[31] tandis que la note technique parle d’une heure ^[30]. Cette difference de quelques minutes ne change rien a l’essentiel: l’ordre de grandeur (soixante minutes) reste sans commune mesure avec les neuf annees d’audit humain qui n’ont rien vu.

Pourquoi neuf ans d’yeux humains n’ont rien vu

L’echec de la revue humaine n’est pas un mystere quand on examine la mecanique du bug. Copy Fail n’est pas une erreur visible dans une seule ligne de code: il resulte de la combinaison de trois modifications independantes ^[21], introduites entre 2011 et 2017 ^[22], chacune correcte isolement et passant sans alarme dans son contexte. C’est leur empilement, plusieurs annees apres, qui ouvre la fenetre d’ecriture hors limites. Aucune relecture ponctuelle de commit ne pouvait raisonnablement reconstituer cette chaine combinatoire a posteriori.

Le noyau Linux recoit plusieurs dizaines de milliers de commits par version stable, et le sous-systeme crypto figure parmi les plus techniques. Pour un humain, suivre les flux de scatterlist entre algif_aead, authencesn et le page cache demande de reconstruire mentalement un graphe d’appels que peu de mainteneurs maitrisent en totalite. Une IA generaliste, elle, peut explorer toutes les branches accessibles depuis l’espace utilisateur en parallele, sans biais d’attention. C’est ce changement d’echelle - et non un quelconque genie de la machine - qui a fait la difference.

On se souvient que Heartbleed, la faille d’OpenSSL revelee en 2014, etait restee plus de deux ans dans le code avant d’etre detectee, alors qu’OpenSSL est l’une des bibliotheques cryptographiques les plus auditees au monde. Plus pres de nous, le programme OSS-Fuzz de Google a permis d’identifier des milliers de bugs dormants dans des projets open source via du fuzzing automatise. Copy Fail prolonge cette logique - une faille longue duree exhumee par un outil automatise - mais ouvre un palier nouveau: c’est la premiere fois qu’une vulnerabilite critique du noyau Linux est attribuee publiquement a un agent d’audit assiste par IA. Pour les equipes de securite, le signal est clair: la revue humaine reste necessaire, mais elle ne peut plus etre la seule ligne de defense sur des bases de code de cette taille.

Un exploit deterministe, sans race condition

Ce qui distingue Copy Fail de ses ancetres celebres - Dirty Cow en 2016 ^[32] et Dirty Pipe en 2022 ^[33] - tient en un mot: determinisme. Dirty Cow exigeait de gagner une condition de course, parfois plusieurs essais, parfois un crash ^[34]. Dirty Pipe dependait de la version du noyau ^[35]. Copy Fail, lui, est ce que les chercheurs appellent un straight-line logic bug ^[36]: il se declenche sans race, sans tentative repetee, sans fenetre de timing sujette aux plantages ^[37].

Le meme script Python fonctionne sur des kernels 6.12 a 6.18 ^[38], sur x86 comme sur ARM ^[39]. Le taux de succes annonce sur les distributions testees atteint 100% ^{[40] [41]}.

Toutes les distributions majeures touchees

Les chercheurs ont confirme l’exploitation reussie sur Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1 et SUSE 16 ^{[42] [43] [44] [45]} avec exactement le meme code. Selon Xint.io, les autres distributions utilisant les noyaux concernes - Debian, Arch, Fedora, Rocky, Alma, Oracle, ainsi que les distributions embarquees - presentent le meme comportement ^[46].

Sur Ubuntu, plus de cinquante variantes du package linux sont concernees ^[47], y compris les saveurs cloud (linux-aws, linux-azure, linux-gcp, linux-oracle) ^[48] et les saveurs specialisees (linux-kvm, linux-raspi, linux-realtime, linux-nvidia) ^[49]. Seul Ubuntu 26.04 (Resolute) et les noyaux ulterieurs ne sont pas affectes ^[50].

L’angle mort: Kubernetes et les conteneurs

Copy Fail n’est pas qu’une elevation de privilege locale. C’est aussi un primitif d’evasion de conteneur et un vecteur de compromission des noeuds Kubernetes ^[51]. Un attaquant dans un conteneur compromis peut s’echapper et prendre le controle du serveur hote ^[52]. Pour les environnements Kubernetes, tres repandus en entreprise ^[53], l’enjeu est colossal: un seul pod malveillant peut potentiellement compromettre tout un cluster.

Pire encore pour les equipes de detection: la corruption de la page cache contourne le chemin d’ecriture VFS ordinaire et n’est jamais marquee comme sale par le mecanisme de writeback du noyau ^[54]. Les outils d’integrite de fichiers comparant les sommes de controle sur disque ne detectent rien ^{[55] [56]}, parce que le fichier sur disque reste inchange ^[57]. Apres un redemarrage, les traces de l’exploitation disparaissent ^[58].

Patcher, ou bloquer le module

Le correctif officiel existe: il s’agit du commit a664bf3d603d ^[59], integre au noyau le 1er avril 2026 ^{[60] [61]}, qui annule l’ de 2017 ^[62]. Debian (Forky et Sid) et Ubuntu ont deja deploye le correctif ^[63]. La mise en place est encore en cours chez Red Hat et Suse ^[64].

Pour les systemes qui ne peuvent etre mis a jour immediatement, le CERT-EU recommande de desactiver le module algif_aead ^[65] en deux lignes de commande ^[66]. Bonne nouvelle: SSH, le chiffrement de disque ou le VPN utilisent d’autres chemins dans le noyau et ne seront pas affectes par cette desactivation ^[67]. La mesure n’affecte pas non plus dm-crypt/LUKS, kTLS, IPsec/XFRM, OpenSSL, GnuTLS ni NSS ^[68].

Sur les charges conteneurisees, CERT-EU recommande egalement de bloquer la creation de sockets AF_ALG via des politiques seccomp ^[69], une mesure qui empeche l’exploitation meme sur les noyaux non corriges ^[70]. La consigne s’applique aux environnements Docker, Podman et aux clusters Kubernetes ^[71].

Ce que les sources ne disent pas

Aucune source consultee ne fait etat d’une exploitation confirmee dans la nature a la date de publication. Cette absence est notable: neuf ans de presence silencieuse dans le noyau constituent une fenetre suffisamment large pour qu’une agence de renseignement ou un acteur malveillant l’ait decouverte avant Theori. Aucun element public ne permet de l’affirmer, mais aucun ne permet non plus de l’exclure. Les chercheurs n’ont communique aucun indicateur de compromission anterieur a la divulgation.

Deuxieme zone d’ombre: le PoC etant deja public sur le GitHub de Theori ^[72], le decalage entre la divulgation et le deploiement complet des patchs chez Red Hat et SUSE ^[73] cree une fenetre d’exploitation reelle pour les attaquants opportunistes. Aucune source ne quantifie le nombre de systemes encore vulnerables au moment ou ces lignes sont ecrites. Troisiemement, la methodologie - un prompt IA pour trouver une faille noyau passee sous les radars pendant neuf ans - n’a pas encore ete reproduite publiquement par des equipes concurrentes: la communaute open source ignore donc combien d’autres bombes a retardement dorment dans le code.

Pour les administrateurs systeme, le message est sans ambiguite: mettez a jour vos kernels sans attendre, ou desactivez le module concerne ^[74]. La faille est publique, le PoC est disponible, et l’exploitation est triviale ^[75].