🔥 CVE-2026-31431 - "Copy Fail !!!"

Una escalada de privilegios local sorprendentemente simple pero letal en el kernel de Linux

📌 Resumen

CVE-2026-31431 (apodado "Copy Fail") es una vulnerabilidad de escalada de privilegios local en el subsistema criptográfico del kernel de Linux, que afecta específicamente a la interfaz algif_aead.

Un usuario local sin privilegios puede explotar esta falla para realizar una escritura controlada de 4 bytes en la caché de páginas de cualquier archivo legible del sistema — incluidos los binarios setuid — lo que en última instancia permite la ejecución arbitraria de código como root.

🛠️ Causa raíz

La vulnerabilidad fue introducida en 2017 por el commit 72548b093ee3 ("crypto: algif_aead - support in-place operations").

El kernel asumió incorrectamente que las solicitudes AEAD podían ejecutarse de forma segura in-place (req->src == req->dst). Sin embargo, al usar sockets AF_ALG con splice() desde archivos regulares, los búferes de origen y destino a menudo residen en mapeos de memoria diferentes.

Esta discrepancia provocó un error de lógica que permitía la corrupción controlada de memoria en la caché de páginas.

🔥 Impacto

• Vector de ataque: Local
• Complejidad: Baja (existen exploits públicos)
• Privilegios requeridos: Ninguno (usuario sin privilegios)
• Impacto: Compromiso total del sistema (acceso root)

La explotación es trivial. Un PoC en Python de ~10 líneas puede obtener root de forma fiable en sistemas sin parchear.

📊 Severidad

✅ Sistemas afectados

• La mayoría de las distribuciones Linux que ejecutan kernels desde 2017 hasta principios de 2026
• Ubuntu, Debian, RHEL, CentOS, Fedora, Amazon Linux, SUSE, Arch, etc.
• Cualquier kernel anterior al commit de corrección a664bf3 (o backports equivalentes)

🛡️ Mitigación y corrección

Acción recomendada: actualice su kernel inmediatamente.

La corrección oficial revierte la optimización problemática in-place en crypto/algif_aead.c.

Comandos rápidos:

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y

# RHEL / Fedora / Rocky / Alma
sudo dnf update kernel -y

# Check kernel version
uname -r

Solución temporal (si no es posible aplicar el parche de inmediato):

• Deshabilitar los namespaces de usuario sin privilegios
• Restringir el uso de sockets AF_ALG mediante seccomp o AppArmor/SELinux

📜 Exploit

Ya hay exploits públicos disponibles, incluida una prueba de concepto en Python muy pequeña y fiable.

⚠️ Advertencia: los sistemas que permanecen sin parchear después de la divulgación son altamente vulnerables.

🔗 Referencias

• Parche del kernel de Linux
• Detalles del CVE
• Descubrimiento y análisis originales