Apa Itu Copy Fail (CVE-2026-31431)?

Copy Fail adalah logic flaw di kernel Linux yang bersembunyi sejak tahun 2017. Kerentanan ini berada di subsistem “algif_aead” antarmuka kriptografi userspace yang diakses melalui socket AF_ALG. Ditemukan oleh peneliti dari Theori (Xint), celah ini memungkinkan penulisan 4 byte data secara terkontrol ke dalam page cache file apa pun yang dapat dibaca.

Cara kerjanya menggabungkan tiga komponen kernel:

• authencesn scratch write ” Algoritma authencesn (digunakan oleh IPsec) menulis 4 byte data melebihi batas output yang ditentukan, efek samping dari optimasi in-place tahun 2017.
• AF_ALG socket Antarmuka socket ini mengekspos operasi kriptografi kernel ke userspace tanpa memerlukan hak istimewa khusus.
• splice() system call ” Melewatkan halaman page cache file langsung ke scatterlist tujuan yang dapat ditulisi oleh operasi kriptografi.

Dengan mengulangi primitif ini sekitar 40 kali, penyerang dapat menyuntikkan shellcode ke dalam cached copy dari binary setuid seperti /usr/bin/su. Saat binary tersebut dijalankan, kernel memuat versi page cache yang sudah rusak, dan shellcode berjalan sebagai root.

Catatan penting: File di disk tidak pernah dimodifikasi. Kernel tidak pernah menandai halaman yang rusak sebagai “dirty”. Semua alat pemantauan integritas file seperti AIDE, Tripwire, Wazuh, dan OSSEC tidak akan mendeteksi apa pun. Serangan ini sepenuhnya berada di memori.

Mengapa Copy Fail Sangat Berbahaya?

Tidak seperti kerentanan privilege escalation sebelumnya (Dirty Cow, Dirty Pipe), Copy Fail memiliki beberapa karakteristik yang membuatnya sangat berbahaya:

• Deterministik: Tidak memerlukan race condition atau timing window. Exploit bekerja secara konsisten setiap kali dijalankan.
• Universal: Bekerja identik di semua distribusi (Ubuntu, RHEL, Debian, SUSE, Amazon Linux) tanpa modifikasi versi-spesifik.
• Minimal: Hanya 732 bytes Python dengan modul standard library tidak perlu kompilasi atau payload khusus.
• Memory-resident: Melewati semua deteksi berbasis disk. File integrity checker tidak melihat perubahan.
• Container escape: Karena page cache dibagi antar container di node yang sama, Copy Fail menjadi ancaman untuk lingkungan multi-tenant.

Versi kernel yang terpengaruh: Linux kernel 4.14 hingga 7.0-rc, semua 6.18.x sebelum 6.18.22, dan 6.19.x sebelum 6.19.12 (regresi diperkenalkan di 4.14, Juli 2017). Versi yang sudah diperbaiki: 7.0, 6.19.12, 6.18.22.

Cara Mengecek Apakah Server Anda Terkena Dampak

1. Cek versi kernel

uname -r

Bandingkan dengan daftar versi rentan di atas. Jika versi kernel Anda termasuk dalam rentang yang terpengaruh, lanjutkan ke langkah berikutnya.

2. Cek apakah modul algif_aead ter-load

lsmod | grep algif_aead

Jika perintah di atas mengembalikan output, modul aktif dan server Anda berpotensi rentan.

3. Cek proses yang menggunakan AF_ALG socket

lsof | grep AF_ALG
ss -xa | grep alg

4. Verifikasi patch sudah terinstall

Untuk distribusi Debian/Ubuntu:

apt list --installed 2>/dev/null | grep linux-image
dpkg -l | grep linux-image-$(uname -r)

Untuk distribusi RHEL/AlmaLinux/Rocky:

rpm -q kernel
uname -r

Cari tahu di halaman CVE Ubuntu atau halaman CVE Red Hat apakah versi kernel Anda sudah termasuk rilis yang diperbaiki.

Solusi 1: Mitigasi Tanpa Reboot (seccomp & modprobe)

Jika Anda belum bisa melakukan reboot server, ada dua metode mitigasi sementara yang efektif:

Metode A: Blacklist modul algif_aead

Ini adalah cara tercepat untuk menonaktifkan jalur kode yang rentan tanpa reboot:

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf
rmmod algif_aead 2>/dev/null || true

Verifikasi:

lsmod | grep algif_aead
# Seharusnya tidak mengembalikan output apa pun

Catatan: Langkah ini tidak memerlukan reboot. Modul akan tetap tidak aktif meskipun server di-restart. Dampak pada workload produksi sangat minim dm-crypt, LUKS, kTLS, IPsec, OpenSSL, GnuTLS, SSH, dan kernel keyring tidak menggunakan AF_ALG.

Metode B: Seccomp blocker (tanpa modprobe)

Untuk container atau lingkungan yang tidak bisa memuat kernel module, gunakan seccomp profile untuk memblokir AF_ALG socket:

{
  "defaultAction": "SCMP_ACT_ALLOW",
  "syscalls": [
    {
      "names": ["socket"],
      "action": "SCMP_ACT_ERRNO",
      "args": [
        {
          "index": 0,
          "value": 38,
          "op": "SCMP_CMP_EQ"
        }
      ]
    }
  ]
}

Simpan sebagai afalg-blocker.json dan terapkan ke container Docker dengan:

docker run --security-opt seccomp=afalg-blocker.json ...

Atau terapkan cluster-wide di Kubernetes via Kyverno atau OPA Gatekeeper untuk memblokir address family 38 pada level admission controller.

Solusi 2: Update Kernel + Reboot (Paling Aman)

Ini adalah solusi paling permanen dan paling aman. Patch upstream (commit a664bf3d603d) mengembalikan operasi in-place ke out-of-place, secara permanen memisahkan halaman page cache dari scatterlist yang dapat ditulisi.

Debian / Ubuntu

sudo apt update
sudo apt list --upgradable 2>/dev/null | grep linux-image
sudo apt install linux-image-$(uname -r | sed 's/-generic//')-generic
sudo reboot

RHEL / AlmaLinux / Rocky Linux

sudo dnf update kernel
sudo reboot

Verifikasi setelah reboot

uname -r
# Pastikan versi kernel >= 6.18.22, >= 6.19.12, atau >= 7.0

Periksa halaman CVE distro Anda untuk memastikan versi kernel yang terinstall sudah termasuk fix: Ubuntu, Red Hat, Debian.

Solusi 3: KernelCare Live Patch (Paling Profesional)

Untuk lingkungan production yang membutuhkan zero downtime, live kernel patching adalah solusi paling profesional:

KernelCare (sekarang bagian dari TuxCare) menyediakan live patch untuk berbagai distribusi enterprise. Keuntungannya:

• Patch diterapkan tanpa reboot tidak ada downtime server
• Mendukung RHEL, Ubuntu, Debian, CentOS, AlmaLinux, Rocky Linux
• Patch otomatis melalui agen KernelCare yang berjalan di background
• Coverage untuk kernel vulnerability kritis termasuk CVE-2026-31431
• Lisensi berbayar per server per tahun

Alternatif live patch lainnya:

• Canonical Livepatch Gratis untuk hingga 3 mesin Ubuntu, berbayar untuk lebih
• kpatch (Red Hat) Tersedia untuk pelanggan RHEL dengan subscription yang sesuai
• Ksplice (Oracle) Untuk Oracle Linux

Perlindungan untuk Container & Kubernetes

Lingkungan containerized memiliki risiko ekstra karena page cache dibagi di antara semua pod pada node yang sama. Berikut langkah-langkah perlindungan spesifik:

• Terapkan seccomp profile kustom: Jangan andalkan RuntimeDefault saja profile default tidak memblokir AF_ALG (address family 38).
• Audit SUID binary: Jalankan find / -perm -4000 -type f di image container Anda dan hapus SUID bit dari binary yang tidak diperlukan.
• Gunakan Pod Security Standards (PSS): Setel ke level Restricted untuk meminimalkan permukaan serangan.
• Admission controller: Gunakan Kyverno atau OPA Gatekeeper untuk memblokir pod tanpa seccomp profile yang memadai.

Deteksi dengan Falco / Sysdig

Runtime detection sangat penting untuk mengetahui apakah ada upaya eksploitasi di sistem Anda. Sysdig Secure dan Falco menyediakan aturan deteksi untuk CVE-2026-31431:

- rule: Unexpected Process Using Kernel AEAD Crypto Socket
  desc: >
    Detects creation of an AF_ALG SEQPACKET socket the kernel AEAD crypto
    API interface required by CVE-2026-31431, from processes outside known
    disk-encryption toolchain.
  condition: >
    evt.type = socket and evt.rawres >= 0 and
    (evt.arg.domain contains AF_ALG or evt.rawarg.domain = 38) and
    (evt.arg.type = 5 or evt.arg.type = 2053 or
     evt.arg.type = 524293 or evt.arg.type = 526341) and
    not proc.name in (cryptsetup, systemd-cryptse,
                      systemd-cryptsetup, veritysetup,
                      integritysetup, kcapi-enc, kcapi-dgst,
                      kcapi-rng, kcapi-sym)
  priority: CRITICAL

Kesimpulan

CVE-2026-31431 (Copy Fail) adalah salah satu kerentanan privilege escalation paling serius dalam satu dekade terakhir. Dengan skrip 732 bytes yang bisa dijalankan oleh siapa pun yang memiliki akses lokal ke server, konsekuensinya sangat luas terutama untuk lingkungan shared hosting, CI/CD, Kubernetes, dan server dengan banyak tenant.

Tindakan prioritas yang harus dilakukan sekarang:

1. Segera Blacklist modul algif_aead (butuh 2 menit, tanpa reboot)
2. Hari ini Terapkan patch kernel dan jadwalkan reboot
3. Minggu ini Audit SUID binary dan perkuat seccomp profile di semua container
4. Bulan ini Pertimbangkan live patch solution untuk respons zero-downtime di masa depan

Jangan menunda. Copy Fail sudah memiliki exploit publik dan enam implementasi berbeda di GitHub dalam waktu 24 jam setelah publikasi. Setiap server yang belum dipatch adalah target yang sah.

Baca juga artikel terkait: Cara Cek Kuota Internet Semua Operator 2026 Panduan lengkap untuk menjaga koneksi internet Anda tetap stabil dan aman.

Referensi: Ubuntu Security Blog | Sysdig | ZENDATA | Mondoo

The post CVE-2026-31431 Copy Fail: Panduan Lengkap Perbaikan Keamanan Linux Server appeared first on Zonakuota.

1. Membuat Anggaran Bulanan yang Ketat

Mulailah dengan membuat daftar kebutuhan prioritas. Bedakan antara kebutuhan dan keinginan. Fokuslah pada pengeluaran wajib seperti makanan, transportasi, listrik, dan air. Dengan mengelola anggaran secara disiplin, pengeluaran Anda akan lebih terkendali.

2. Manfaatkan Diskon dan Promo

Cari tahu toko atau aplikasi yang menyediakan diskon dan promo. Belanja cerdas dengan memilih barang-barang berkualitas yang sedang ditawarkan dengan harga lebih rendah. Hal ini bisa membantu Anda menghemat pengeluaran bulanan. Kalau penulis biasanya dengan berbelanja di aplikasi Alfagift, beli produk wajib semua yang sedang promo, tidak perduli itu merek apa yang penting sesuai fungsi dan kebutuhan. Misal deterjen merek A yang lagi harga promo dari harga normal 15000 menjadi 10000, tidak perlu mementingkan merek karena fungsinya sama aja membersihkan pakaian.

3. Beralih ke Produk Lokal

Produk lokal sering kali menawarkan harga lebih terjangkau dengan kualitas yang tidak kalah baik. Dengan beralih ke produk lokal, Anda tidak hanya menghemat, tetapi juga mendukung perekonomian domestik.

4. Gunakan Aplikasi Zonakuota

Salah satu cara utama untuk berhemat adalah memanfaatkan aplikasi Zonakuota. Zonakuota menyediakan solusi untuk pembelian pulsa, paket internet, hingga pembayaran tagihan dengan harga grosir. Dengan aplikasi ini, Anda bisa menikmati harga yang lebih murah untuk kebutuhan harian. Tidak hanya itu, produk dari Zonakuota juga bisa Anda jual kembali untuk mendapatkan keuntungan tambahan. Kunjungi zonakuota.com atau download aplikasi Zonakuota di Google Play Store gratis untuk mulai menghemat dan mendapatkan keuntungan lebih banyak.

5. Kurangi Penggunaan Listrik dan Air

Gunakan listrik dan air secukupnya. Matikan lampu dan peralatan elektronik yang tidak digunakan. Mengurangi konsumsi energi tidak hanya menghemat uang, tetapi juga membantu lingkungan.

6. Manfaatkan Transportasi Umum

Jika memungkinkan, beralihlah ke transportasi umum atau carpooling untuk mengurangi biaya transportasi harian Anda.

7. Masak di Rumah

Sebisa mungkin, kurangi frekuensi makan di luar. Memasak makanan sendiri tidak hanya lebih hemat, tetapi juga memberikan Anda kendali atas nutrisi dan kebersihan makanan.

Dengan menerapkan tips-tips di atas, Anda dapat mengelola keuangan dengan lebih efisien di kala efisiensi pemerintah. Jangan lupa, aplikasikan strategi berhemat dengan bijak, seperti menggunakan Zonakuota untuk kebutuhan digital Anda. Langkah kecil seperti ini bisa memberikan dampak besar bagi keuangan Anda di masa depan! 🌟

The post Ini Tips Berhemat Dikala Efisiensi Pemerintah appeared first on Zonakuota.