14. toukokuuta 2026 kello 20.50

CopyFail (CVE-2026-31431): Yhdeksän vuotta vanha Linux-ytimen haavoittuvuus ja kriittiset turvatoimet

Kyberturvallisuusmaailma järkkyi, kun Linuxin ytimestä paljastui kriittinen tietoturva-aukko, joka on ollut piilossa lähes yhdeksän vuoden ajan. CopyFail-nimellä tunnettu ja CVE-2026-31431-tunnuksella määritelty haavoittuvuus muodostaa vakavan turvauhan mahdollistaen paikallisen käyttöoikeuksien korotuksen (Local Privilege Escalation - LPE) -hyökkäykset. Tämä aukko vaikuttaa laajalti käytettyihin jakeluihin, kuten Ubuntu 24.04 LTS, Amazon Linux 2023, RHEL 10.1, SUSE 16 ja Rocky Linux 9.7, ja vaatii kiireellistä toimintaa erityisesti monivuokralaisten järjestelmien, CI/CD-ajoympäristöjen, pilvipohjaisten SaaS-alustojen ja konttiklustereiden osalta.

Mikä on CVE-2026-31431 ja miksi se on niin kriittinen?

CVE-2026-31431 johtuu muistinhallintavirheestä Linux-ytimen kryptografisessa API:ssa sijaitsevassa AF_ALG-socket-rakenteessa. Haavoittuvuus on erityisen vaarallinen, koska se on pysynyt huomaamattomana yhdeksän vuoden ajan. CopyFail-nimellä tunnettu tietoturva-aukko mahdollistaa rajoitetuin oikeuksin järjestelmään päässeen hyökkääjän hankkia järjestelmätason oikeudet ja saada täysi hallinta.

Haavoittuvuuden kriittisyyden pääsyyt ovat:

• Pitkään havaitsematta jäänyt: Yhdeksän vuoden ajan aktiivisesti käytössä olevissa järjestelmissä oleminen lisää potentiaalista hyväksikäyttöriskiä.
• Laaja vaikutusalue: Suosituimpien Linux-jakeluiden vaikuttuminen tarkoittaa, että miljoonia järjestelmiä on vaarassa globaalissa mittakaavassa.
• Kriittiset infrastruktuurit: Pilvipalveluiden, konttiympäristöjen ja monivuokralaisten järjestelmien kohteeksi joutumisen mahdollisuus muodostaa suuren uhan liiketoiminnan jatkuvuudelle.
• Helppo hyväksikäytettävyys: Julkisesti saatavilla olevan PoC (Proof of Concept) -koodin olemassaolo tarkoittaa, että hyökkääjät voivat helposti käyttää tätä haavoittuvuutta.

Mitkä järjestelmät ovat vaikutuksen alaisia?

CopyFail-haavoittuvuuden varmennetusti vaikuttamat Linux-jakelut ja versiot ovat:

• Ubuntu 24.04 LTS: Pitkän tuen version vaikuttuminen muodostaa erityisen riskin yrityskäyttäjille.
• Amazon Linux 2023: AWS-ekosysteemissä laajalti käytetty jakelu uhkaa suoraan pilvi-infrastruktuureja.
• Red Hat Enterprise Linux (RHEL) 10.1: Yhden suosituimmista yritystason jakeluista vaikuttuminen on kriittisen tärkeää.
• SUSE Linux Enterprise 16: Erityisesti Euroopan markkinoilla laajalti käytetty jakelu kuuluu myös haavoittuvuuden piiriin.
• Rocky Linux 9.7: CentOS:n vaihtoehtona suosiota saavuttanut jakelu on myös vaarassa.

Näiden jakeluiden lisäksi myös muut vastaavia ydinversioita käyttävät Linux-järjestelmät saattavat olla vaikutuksen alaisia. Järjestelmänvalvojien tulisi tarkistaa kaikki Linux-pohjaiset infrastruktuurit.

Miten CopyFail-haavoittuvuus toimii?

CopyFail johtuu muistinkopiointivirheestä Linux-ytimen kryptografisen API:n AF_ALG (Algorithm Interface) -socket-perheessä. Erityisesti algif_aead-moduuliin liittyvä haavoittuvuus käytetään authenticated encryption with associated data (AEAD) -salaustoiminnoissa.

Hyökkääjät voivat hyväksikäyttää tätä haavoittuvuutta erityisesti valmisteltujen järjestelmäkutsujen kautta:

• Suorittaa luvattomia luku-/kirjoitusoperaatioita ytimen muistissa
• Ohittaa muistisuojauksen ja päästä käsiksi kriittisiin järjestelmätietoihin
• Korottaa paikallisista käyttäjäoikeuksista root-tasolle
• Poistaa järjestelmän turvallisuusmekanismit käytöstä

Kiireelliset korjaustoimenpiteet ja ensisijaiset järjestelmät

1. Ensisijainen päivitysten asennus (Patch)

Tehokkain ja pysyvin ratkaisu on järjestelmätoimittajien julkaisemien turvapäivitysten välitön asennus. Prioriteettijärjestys tulisi olla seuraava:

• Monivuokralaiset järjestelmät (Multi-tenant Systems): Useille asiakkaille palvelua tarjoavat jaetut infrastruktuurit ovat korkeimmassa riskiryhmässä.
• CI/CD-ajoympäristöt (CI Runners): Jatkuvan integraation ja käyttöönoton järjestelmät tulisi suojata ensisijaisesti, koska niillä on usein pääsy arkaluonteiseen koodiin ja tunnistetietoihin.
• Pilvipohjaaiset SaaS-alustat: Asiakastietoja sisältävät pilvipalvelut ovat kriittisen tärkeitä.
• Konttiklusterit: Kubernetes, Docker Swarm ja muut orkestrointialustat vaativat kiireellistä päivitystä.

2. Nopeat väliaikaiset toimenpiteet (Mitigation)

Järjestelmille, joissa välitöntä päivitystä ei voida toteuttaa, väliaikaiset suojausmenetelmät ovat:

AF_ALG-socketin luomisen estäminen Seccomp-suodattimella:

Seccomp (Secure Computing Mode) -tilan avulla voit estää AF_ALG-socket-perheen luomisen. Tämä menetelmä rajoittaa sovellusten pääsyä kryptografiseen API:in, mutta saattaa vaikuttaa joidenkin laillisten sovellusten toimintaan.

Algif_aead-moduulin mustalistaus:

Ytimen moduulitasolla voit poistaa algif_aead-moduulin käytöstä estääksesi haavoittuvuuden hyväksikäytön. Tätä varten tulee luoda konfiguraatiotiedosto /etc/modprobe.d/-hakemistoon.

3. Seuranta- ja tunnistusstrategiat

Turvallisuustiimien tulisi toteuttaa seuraavat seurantastrategiat:

• Epänormaalien järjestelmäkutsujen ja AF_ALG-socket-käytön seuranta
• Odottamattomien käyttöoikeuksien korotusyritysten havaitseminen
• Ytintason epänormaalien muistikäyttöjen lokitus
• CopyFail-aiheisten erityissääntöjen luominen SIEM-järjestelmiin

Arviointi yritysturvallisuuden näkökulmasta

CopyFail-haavoittuvuus tuo jälleen esiin useita tärkeitä näkökohtia yrityksen kyberturvallisuusstrategioissa:

Päivityksenhallintaprosessi: Organisaatioiden tehokkaan päivityksenhallintaprosessin omaaminen on kriittisen tärkeää. Turvallin