wuzuowei/copy-fail-cve-2026-31431Exploit für CVE-2026-31431, eine Linux-Kernel-Authencesn-Schwachstelle, die lokale Privilegieneskalation zu Root und Container-Escape über AF_ALG und splice() ermöglicht.
Das Linux-Kernel-Kryptografiemodul authesnc führte 2017 eine Optimierung für In-Place-Operationen (AEAD – Authenticated Encryption with Associated Data) ein. Diese Optimierung führte dazu, dass unter bestimmten Bedingungen schreibgeschützte Seiten im Page Cache fälschlicherweise in eine beschreibbare Ziel-Scatterlist eingefügt werden konnten. Ein Angreifer nutzt die über AF_ALG-Sockets exponierte Kernel-Kryptografie-API in Kombination mit dem splice()-Systemaufruf aus, um mithilfe dieses Logikfehlers einen 4-Byte-Schreibzugriff auf den Page Cache von setuid-Binärdateien (z. B. /usr/bin/su) zu erreichen und so die Programmlogik zu manipulieren, um eine Root-Shell zu erhalten.
Der gesamte Exploit-Ablauf ist linear, benötigt kein Race Window, keine kernel-spezifischen Offsets und keine vorinstallierten Spezialwerkzeuge.
Lokale Rechteausweitung auf Root: Jedes lokale Benutzerkonto mit normalen Rechten kann bedingungslos auf Root erweitert werden.
Container-Escape: In Kubernetes-/Container-Umgebungen wird der Page Cache vom Host geteilt. Ein Angreifer innerhalb eines Containers kann die Container-Grenzen durchbrechen und den Host-Knoten sowie andere Mandanten auf demselben Knoten gefährden.
Kompromittierung von CI/CD-Umgebungen: In CI-Umgebungen, die nicht vertrauenswürdigen Code ausführen (GitHub Actions, GitLab Runner, Jenkins Agent usw.), kann ein Angreifer über einen bösartigen PR direkt Root-Rechte auf dem Runner-Host erlangen.
Cloud-Multi-Tenant-Umgebungen: In Cloud-Diensten, die Benutzercode ausführen (Notebooks, Serverless, Agent-Sandboxes usw.), kann ein Mandant auf Root des Hosts erweitert werden.
Schwachstelle seit fast einem Jahrzehnt aktiv: Der problematische Code wurde 2017 eingeführt; seither sind alle Linux-Distributionen betroffen.
Alle Linux-Kernel-Versionen, die zwischen 2017 und der Veröffentlichung des Patches erstellt wurden, einschließlich:
| Distribution | Betroffene Kernel-Versionen |
| Ubuntu 24.04 LTS | 6.17.0-1007-aws und älter |
| Amazon Linux 2023 | 6.18.8-9.213.amzn2023 und älter |
| RHEL 14.3 | 6.12.0-124.45.1.el10_1 und älter |
| SUSE 16 | 6.12.0-160000.9-default und älter |
| Debian / Arch / Fedora / Rocky / Alma / Oracle | Entsprechende Kernel-Versionen sind betroffen |
Upgrade auf eine Kernel-Version, die den Mainline-Commit a664bf3d603d enthält. Die gängigen Distributionen veröffentlichen nach und nach Fix-Versionen:
# Ubuntu / Debian
apt update && apt upgrade linux-image-$(uname -r)
# RHEL / CentOS / Rocky / Alma
dnf update kernel
# Amazon Linux
yum update kernel
# SUSE
zypper update kernel-default
Nach dem Upgrade das System neu starten, damit der neue Kernel aktiv wird, und mit dem folgenden Befehl verifizieren, ob der Fix-Commit enthalten ist:
grep -r "a664bf3d603d" /proc/version 2>/dev/null || uname -r
# Verifizieren, ob der Fix-Commit enthalten ist, oder die Fix-Versionsnummer in den offiziellen Ankündigungen der Distribution vergleichen
Das Deaktivieren des Kernel-Moduls algif_aead blockiert den Exploit-Pfad:
# Dauerhaft deaktivieren (wirksam nach Neustart)
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
# Sofort entladen (wirksam für die aktuelle Sitzung)
rmmod algif_aead 2>/dev/null || true
Bewertung der Auswirkungen der Deaktivierung von algif_aead:
Keine Auswirkungen: dm-crypt/LUKS, kTLS, IPsec/XFRM, OpenSSL/GnuTLS/NSS-Standardbuilds, SSH, Kernel-Keyring-Verschlüsselung – diese Komponenten nutzen direkt die Kernel-Kryptografie-API und laufen nicht über AF_ALG.
Mögliche Auswirkungen: OpenSSL mit explizit aktivierter afalg-Engine, einige eingebettete Krypto-Offload-Pfade sowie Anwendungen, die direkt aead/skcipher/hash-Sockets binden. Mit lsof | grep AF_ALG oder ss -xa kann geprüft werden, ob aktuell Prozesse auf dem System AF_ALG verwenden.