Copy Fail: 732 байта Python против каждого Linux-узла крипто-инфраструктуры с 2017 года

Девять лет. Примерно столько времени уязвимость повышения привилегий, получившая название Copy Fail, просуществовала в основной ветке Linux — по данным исследователей, раскрывших её этой весной. Эксплойт занимает 732 байта на Python, около десяти строк кода, и выводит атакующего на уровень root на любом уязвимом хосте, где уже есть возможность выполнения кода. 1 мая 2026 года CISA включила её в каталог Known Exploited Vulnerabilities — это официальный сигнал правительства США о том, что угроза вышла за рамки теории.

Для операторов крипто-инфраструктуры важна не цифра в байтах, а масштаб поверхности атаки: каждый крупный дистрибутив Linux, выпущенный с 2017 года. Это подложка под большинством бирж, валидаторных парков, RPC-провайдеров и кастодиальных подписчиков, работающих сегодня в продакшене.

Что произошло

Временная шкала раскрытия необычно сжата для ошибки ядра такого масштаба. Как сообщила биржа MEXC, проблема была приватно сообщена команде безопасности ядра Linux 23 марта, патчи попали в основную ветку 1 апреля, CVE был присвоен 22 апреля, а публичный разбор с рабочим proof of concept появился 29 апреля. CISA добавила уязвимость в KEV двумя днями позже.

От приватного сообщения до патча в основной ветке — девять дней, от патча до публичного PoC — 28 дней. По стандартам раскрытия уязвимостей ядра это очень быстро, и сам темп говорит о многом: мейнтейнеры и исследователи сочли уязвимость достаточно серьёзной для жёсткого эмбарго и ускоренного включения в основную ветку вместо обычного многомесячного координированного раскрытия.

Механика, по данным источника, представляет собой уязвимость повышения привилегий, в основе которой лежит небольшая логическая ошибка. Предварительным условием эксплойта является наличие исполнения кода на целевой системе — то есть это не удалённый несанкционированный захват. Это вторая стадия атаки. Когда у атакующего уже есть любой плацдарм на уровне пользователя — через скомпрометированную зависимость, утёкший SSH-ключ, обработчик webhook или вредоносный контейнер — Python-пейлоад переводит его с этого плацдарма на уровень root. Один из исследователей, процитированных в источнике, выразился прямо: «10 строк Python могут быть всем, что нужно для получения прав root на любой уязвимой системе».

Пейлоад описывается как платформонезависимый — в данном контексте это означает, что его не нужно перекомпилировать под конкретную архитектуру или дистрибутив. Один и тот же скрипт работает во всём затронутом диапазоне ядер. Источник не раскрывает, какая подсистема ядра содержит ошибку и конкретный идентификатор CVE — а эти данные крайне нужны операторам, которые прямо сейчас оценивают свои риски, чтобы отследить статус патчей в разнородных парках серверов.

Техническая анатомия

Если отбросить маркетинговые формулировки, Copy Fail — это классическое локальное повышение привилегий, той же категории, что Dirty COW (2016) и Dirty Pipe (2022). Паттерн знаком: логическая ошибка в низкоуровневом примитиве ядра, эксплуатируемая из непривилегированного пользовательского пространства, реализованная в виде короткого скрипта. Различается каждый раз лишь то, насколько тривиально эксплойт встраивается в цепочку и насколько широк диапазон версий ядра. Диапазон Copy Fail — каждый дистрибутив с 2017 года — находится на более широком конце шкалы.

Цифра в 732 байта Python заслуживает внимания. Пейлоад такого размера, написанный на интерпретируемом языке без нативной компиляции, говорит о том, что ошибку можно активировать через высокоуровневые syscall или файловые операции, а не через точную манипуляцию регистрами или grooming кучи ядра. Из этого следуют два вывода. Первый: детектирование через EDR усложняется, поскольку атакующий не сбрасывает ELF-бинарники и не запускает шелл-код, выглядящий аномально. Второй: эксплойт переносим через границы контейнеров — скомпрометированный pod даже со стандартным интерпретатором Python и эквивалентом возможностей CAP_SYS_PTRACE (или каким бы ни оказался базовый примитив) может переключиться на root хоста.

Применительно к крипто-инфраструктуре архитектурная проблема заключается в слоях. Типичный стек биржи или кастодиана включает Linux-хосты, оркестрацию контейнеров поверх них и рабочие нагрузки подписи или матчингового движка внутри этих контейнеров. Если Copy Fail прорывает границу хостового ядра изнутри контейнера, то изоляция контейнеров — допущение, лежащее в основе большинства мультитенантных RPC-провайдеров блокчейна и общей валидаторной инфраструктуры — существенно ослабевает, пока ядра не запатчены.

Операторы валидаторов на таких цепочках, как Solana, или Ethereum-клиенты исполнения, работающие на Ubuntu LTS, Debian stable или производных RHEL, — все находятся внутри уязвимого окна. Тот факт, что уязвимость существовала около девяти лет, также означает, что она предшествует нынешнему поколению конфиденциальных вычислений и изолированных сред типа gVisor — то есть баг старше большинства средств защиты, на которые рассчитывают операторы.

Источник не уточняет, блокируют ли профили AppArmor, SELinux или seccomp значимым образом эксплойт. Этот пробел важен: если стандартные профили hardening блокируют путь через syscall, операционная срочность резко снижается для защищённых развёртываний, тогда как голые ядра по умолчанию остаются полностью уязвимы. До прояснения этого вопроса операторам следует исходить из того, что никакого смягчения нет.

Кто пострадает

Источник прямо называет криптобиржи, блокчейн-узлы и кастодиальные сервисы целями повышенного риска — и это верная оценка. Linux является подложкой почти для всей продакшен-инфраструктуры крипто. Впрочем, уязвимость неоднородна, поэтому стоит разбить её по сегментам.

Централизованные биржи со зрелыми командами безопасности запатчатся быстрее всех. У них есть пайплайны управления изменениями, инструменты живого патчинга ядра — kpatch или Ksplice — и мониторинг SOC, который обнаружит сигнатуры публичного PoC. Риск для этих операторов в течение 90 дней умеренный: окно между публичным PoC (29 апреля) и полным патчем всего парка — это именно то время, когда будут действовать рядовые атакующие, но крупнейшие площадки должны закрыть его в течение нескольких недель.

Более сложная проблема — у валидаторов среднего звена, RPC-провайдеров и самохранимой инфраструктуры, обслуживаемой небольшими командами. Многие из них эксплуатируют давно работающие bare-metal-узлы, где обновления ядра требуют координированных перезагрузок, окон с риском слэшинга и рестартов consensus-клиентов. Оператор валидатора, откладывающий перезагрузку ядра во избежание простоя — именно тот профиль, который интересен атакующему с Copy Fail: долгое аптайм, привилегированные ключи на диске или в процессах рядом с HSM, и, вероятно, устаревшее ядро.

Кастодианы находятся в наихудшей позиции, если используют Linux-инфраструктуру для подписи без строгой воздушной изоляции. Само повышение привилегий не извлекает ключи, защищённые HSM, но root на оркестраторе подписи даёт атакующему возможность ставить в очередь вредоносные транзакции через легитимные пути подписи. Пока неизвестно, были ли кастодианы уже атакованы в реальных условиях, но вот граница: между PoC от 29 апреля и внесением в KEV 1 мая каждый хорошо финансируемый угрожающий актор с крипто в списке целей уже имеет рабочий код.

Сами DeFi-протоколы — уровень смарт-контрактов — в значительной мере изолированы. Риск касается операторов вне блокчейна: хостов фронтендов, оракульной инфраструктуры, машин для мультиподписи. Скомпрометированный подписант Safe на незапатченном Linux-ноутбуке — конкретный, реалистичный сценарий атаки на ближайший квартал.

Практическое руководство для крипто и DeFi

Действия на этой неделе в порядке приоритета. Проведите инвентаризацию версий ядра на каждом хосте, который работает с ключами, подписывает транзакции, запускает ПО валидатора или обслуживает публичный RPC-эндпоинт. Всё, что работает на ядре с 2017 года, предположительно находится в зоне риска, пока не доказано обратное с помощью присвоенного CVE (который операторы должны сейчас получить из трекеров безопасности своего дистрибутива).

Применяйте патчи основной ветки, попавшие туда 1 апреля, через бэкпорты дистрибутивов. Для Ubuntu, Debian, RHEL и Amazon Linux бюллетени безопасности уже должны содержать ссылку на исправление. Живой патчинг предпочтительнее перезагрузок для валидаторных хостов во избежание окон слэшинга, но плановая перезагрузка лучше внеплановой компрометации.

Рассматривайте любой хост с ранее необъяснёнными оповещениями об исполнении кода начиная с марта как потенциально уже затронутый. Эксплойт предшествовал публичному PoC для исследователей, и предполагать нулевое использование в реальных условиях до 29 апреля — чрезмерный оптимизм. Ротируйте SSH-ключи, API-токены и любые учётные данные, хранившиеся на этих хостах. Для инфраструктуры подписи — ротируйте операционные ключи там, где это допускает модель угроз; для корневых ключей холодного хранения — проведите аудит журналов доступа.

Устраните предусловие. Copy Fail требует предварительного исполнения кода, поэтому цепочка эксплойта зависит от первичного плацдарма. Сейчас самое время провести аудит пайплайнов зависимостей, базовых образов контейнеров и CI/CD-раннеров. Надёжно защищённая первая стадия нейтрализует большую часть рисков второй стадии вне зависимости от статуса патча.

Наконец, следите за темпом обновления каталога KEV. Федеральная регистрация CISA создаёт комплаенс-давление для регулируемых субъектов США, и крипто-компании, работающие по государственным трастовым хартиям или регистрациям MSB, должны ожидать, что проверяющие спросят об устранении Copy Fail на ближайшем аудите.

Проверяемый прогноз: если Copy Fail повторит траекторию Dirty Pipe, в течение 90 дней с момента включения в KEV 1 мая следует ожидать как минимум одной публично раскрытой компрометации крипто-инфраструктуры, связанной с этим CVE — скорее всего, это будет RPC-провайдер или валидатор среднего уровня, а не биржа первого эшелона.

Ключевые выводы

• Copy Fail — локальное повышение привилегий в Linux, присутствующее в дистрибутивах с 2017 года, эксплуатируемое через 732-байтный Python-пейлоад после получения начального исполнения кода атакующим.
• Раскрытие было стремительным: приватное сообщение — 23 марта, патч в основной ветке — 1 апреля, CVE — 22 апреля, публичный PoC — 29 апреля, внесение в KEV — 1 мая 2026 года.
• Криптобиржи, валидаторные узлы и кастодиальная инфраструктура подписи явно названы целями повышенного риска; наиболее уязвимы небольшие валидаторы с долгим аптаймом.
• Источник не раскрывает затронутую подсистему ядра и не уточняет, блокируют ли профили SELinux/AppArmor эксплойт — это следующий критически важный параметр для триажа.
• Укрепление первичного плацдарма (CI/CD, зависимости, образы контейнеров) не менее важно, чем патчинг ядер, поскольку Copy Fail требует предварительного исполнения кода.