CVE-2026-31431 — Copy Fail

Escalada de Privilegios Local en la plantilla criptográfica authencesn del kernel de Linux mediante AF_ALG + splice().
Divulgado el 29 de abril de 2026 por Theori (Xint Code).

Resumen

Resumen de la Vulnerabilidad

Una falla lógica en el envoltorio AEAD authencesn del kernel permite a un usuario local sin privilegios realizar una escritura determinista y controlada de 4 bytes en la caché de páginas de cualquier archivo legible del sistema — incluidos binarios setuid como /usr/bin/su.

La causa raíz es una optimización de procesamiento en el lugar de 2017 que colocaba páginas de la caché de páginas en una lista de dispersión (scatterlist) escribible. El algoritmo authencesn escribe 4 bytes de datos temporales fuera de su región de salida prevista durante el reordenamiento del Número de Secuencia Extendido. Debido a la estructura de scatterlist introducida por la optimización, esos 4 bytes terminan en la caché de páginas de un archivo alimentado mediante splice() — omitiendo por completo los permisos de archivo.

Sin condición de carrera. Sin reintentos. Sin riesgo de bloqueo. Determinista en todas las distribuciones probadas.

Comparación con Trabajos Previos

Versiones Afectadas

Vulnerables: Kernel de Linux 4.14 hasta 6.18.21 y 6.19.x anteriores a 6.19.12.

Todas las distribuciones principales que incluyen kernels en este rango están afectadas, incluyendo:

No afectadas: Ubuntu 26.04 (Resolute) y posteriores.

Mitigación

Opción 1 — Parche (Recomendado)

Actualice a un kernel que contenga el commit principal a664bf3d603d, que revierte la optimización en el lugar de 2017.

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y && sudo reboot

# RHEL / AlmaLinux / Amazon Linux
sudo dnf clean metadata && sudo dnf upgrade && sudo reboot

# SUSE
sudo zypper refresh && sudo zypper update kernel-default && sudo reboot

Opción 2 — Deshabilitar algif_aead (Temporal)

Si no es posible parchear de inmediato, deshabilite el módulo vulnerable para cerrar la superficie de ataque.

Nota para sistemas de la familia RHEL: algif_aead está compilado dentro del kernel en RHEL/AlmaLinux/CentOS (CONFIG_CRYPTO_USER_API_AEAD=y). La solución con modprobe.d no funciona en estos sistemas. Use el método initcall_blacklist en su lugar.

Debian/Ubuntu (el módulo es cargable):

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

Familia RHEL (compilado en el kernel — requiere reinicio):

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

Confirme después del reinicio:

grep initcall_blacklist /proc/cmdline

Qué Afecta Esta Solución Temporal

Opción 3 — seccomp (Defensa en Profundidad)

Para cargas de trabajo no confiables — contenedores, runners de CI, entornos sandbox — bloquee la creación de sockets AF_ALG mediante una política seccomp independientemente del estado del parche. Esto limita la superficie de ataque incluso en kernels vulnerables.

Detección

Verifique si algif_aead está actualmente cargado o en uso:

# Verificar si el módulo está cargado
lsmod | grep algif_aead

# Verificar si algún proceso tiene un socket AF_ALG abierto
lsof | grep AF_ALG
ss -xa | grep alg

Las firmas de detección en tiempo de ejecución están disponibles en Sysdig Secure (regla: AF_ALG Page Cache Poisoning Leading to Privilege Escalation).

Referencias

Cronología de Divulgación

Autor

xD The Watcher — Red Teamer, Ethical Hacker e Investigador de Seguridad en IA
GitHub: @xd20111
Blog: yourhacker

Notas

Este repositorio documenta la vulnerabilidad con fines de investigación y defensa. Para el informe técnico autoritativo y el PoC oficial, consulte la divulgación de Theori enlazada arriba.

Si su modelo de amenazas incluye multi-tenant con kernel compartido — contenedores en un host compartido, runners de CI, granjas de compilación — el límite de aislamiento ahora es significativamente más débil hasta que se aplique el parche. El aislamiento a nivel de hardware o VM es la respuesta correcta, no los límites de namespaces.