Alerta de Mist: Vulnerabilidade de falha de cópia no Linux é extremamente explorável; recomenda-se atualizar o kernel o mais rapidamente possível

O Chief Information Security Officer (CISO) da SlowMist, 23pds, publicou no X a 30 de abril, que foi encontrado, no sistema Linux, uma vulnerabilidade lógica denominada “Copy Fail” (CVE-2026-31431), altamente explorável, pelo que a SlowMist recomenda aos utilizadores que atualizem rapidamente o kernel.

Informação base da vulnerabilidade e âmbito afetado

De acordo com o relatório técnico do dia 29 de abril do grupo de investigação Xint Code, a CVE-2026-31431 é uma vulnerabilidade lógica no template de cifra de autenticação com dados adicionais (AEAD) do kernel Linux, algif_aead.c, que utiliza uma cadeia de chamadas envolvendo AF_ALG + a função splice(), permitindo que um utilizador local não privilegiado realize uma escrita controlada determinística de 4 bytes na cache de páginas de ficheiros arbitrários legíveis pelo sistema, e assim obtenha privilégios de root ao comprometer binários setuid.

De acordo com o relatório da Xint Code, foram testadas e confirmadas as distribuições e versões de kernel afetadas, incluindo:

Ubuntu 24.04 LTS：kernel 6.17.0-1007-aws

Amazon Linux 2023：kernel 6.18.8-9.213.amzn2023

RHEL 10.1：kernel 6.12.0-124.45.1.el10_1

SUSE 16：kernel 6.12.0-160000.9-default

De acordo com o relatório da Xint Code, a causa raiz desta vulnerabilidade está na otimização AEAD “in-place” introduzida no algif_aead.c em 2017 (commit 72548b093ee3), que faz com que as páginas da cache provenientes do splice() sejam colocadas numa lista dispersa gravável e, em conjunto com a operação temporária de escrita do encapsulador AEAD authenticsn, formam um caminho explorável.

Linha temporal de divulgação coordenada e medidas de correção

De acordo com a linha temporal divulgada pela Xint Code em 29 de abril, a CVE-2026-31431 foi reportada ao Linux Kernel Security Team a 23 de março de 2026. O patch (a664bf3d603d) ficou concluído na revisão a 25 de março, foi submetido ao kernel principal a 1 de abril, a CVE foi atribuída oficialmente a 22 de abril e a divulgação pública ocorreu a 29 de abril.

De acordo com o relatório da Xint Code, as medidas de correção incluem: atualizar os pacotes de software do kernel das distribuições (as principais distribuições devem publicar este patch através de atualizações regulares do kernel). Se for necessária uma mitigação imediata, pode ser utilizada a seccomp para impedir a criação de sockets AF_ALG, ou executar o seguinte comando para colocar o módulo algif_aead na lista negra: echo “install algif_aead /bin/false” > /etc/modprobe.d/disable-algif-aead.conf.

De acordo com o relatório da Xint Code, esta vulnerabilidade afeta também cenários além do limite entre contentores, porque a cache de páginas é partilhada pelo anfitrião; os impactos relacionados com escape de contentores do Kubernetes serão divulgados na segunda parte.

Perguntas frequentes

Qual é o âmbito de impacto da CVE-2026-31431?

De acordo com o relatório da Xint Code a 29 de abril e com o alerta da SlowMist 23pds a 30 de abril, a CVE-2026-31431 afeta praticamente todas as principais distribuições Linux lançadas desde 2017, incluindo Ubuntu, Amazon Linux, RHEL e SUSE, permitindo que um script Python com 732 bytes obtenha privilégios de root sem necessidade de privilégios.

Qual é a mitigação temporária para esta vulnerabilidade?

De acordo com o relatório da Xint Code a 29 de abril, é possível bloquear a criação de sockets AF_ALG via seccomp, ou executar echo “install algif_aead /bin/false” > /etc/modprobe.d/disable-algif-aead.conf para colocar o módulo algif_aead na lista negra e mitigar imediatamente.

Quando é que o patch da CVE-2026-31431 é disponibilizado?

De acordo com a linha temporal divulgada pela Xint Code a 29 de abril, o patch (a664bf3d603d) foi submetido ao kernel principal do Linux a 1 de abril de 2026; as principais distribuições devem publicar este patch através de atualizações regulares dos pacotes de software do kernel.