Корова, труба и копия Что объединяет эти слова? 📢 Правильный ответ — уязвимости, связанные с локальным повышением привилегий в операционных системах Linux. Когда-то давным-давно была опубликована уязвимость CVE-2016-5195, более известная как «Dirty COW». Данная уязвимость присутствовала в ядрах ОС с 2007 года и была исправлена в конце 2016. После Dirty COW нашумевшей уязвимостью, связанной с повышением локальных привилегий, стала CVE-2022-0847, более известная как «Dirty Pipe», которая охватывала уже меньшее количество ядер, но тем не менее была еще опаснее, так как позволяла перезаписывать любые файлы, даже если у пользователя не было к ним доступа. 29 апреля была опубликована уязвимость CVE-2026-31431 (Copy Fail), а также в открытом доступе был опубликован эксплойт к данной уязвимости. Уязвимость затрагивает множество ядер ОС Linux, выпущенных с 2017 года. ❗️Интересно то, что Copy Fail, которая существует порядка 10 лет, обнаружил не человек, как это было ранее с Dirty Pipe и Dirty COW, а искусственный интеллект. Это в очередной раз указывает на то, что мир информационных технологий (и в частности информационной безопасности) меняется очень быстро, и к нему необходимо адаптироваться, чтобы своевременно обнаруживать и реагировать на современные угрозы. Для детектирования и блокирования попыток эксплуатации эксперты RT Protect SOC рекомендуют настроить правила корреляции для детектирования следующего события в вашей SIEM: 📎Тип — старт процесса 📎Образ исполняемого файла — /usr/bin/su 📎Командная строка прародительского (grandparent) процесса — содержит подстроку *python* 📎`falsepositives — административные скрипты на Python, которые легитимно вызывают su для переключения контекста Заказчики, подключенные к RT Protect SOC и использующие RT Protect EDR, уже получили обновленный набор экспертизы с правилом, выявляющим активность, связанную с Copy Fail.