sbeteta42/cve-2026-31431_je_sappelle_rootCVE-2026-31431 - Guide de Remédiation et Mesures de Protection
Ce dépôt documente la vulnérabilité CVE-2026-31431, surnommée Copy Fail, et propose une procédure de remédiation défensive pour les systèmes Linux potentiellement exposés.
⚠️ Ce dépôt est strictement orienté défense, audit autorisé, durcissement et remédiation.
Il ne fournit pas de procédure d’exploitation et ne doit pas être utilisé pour compromettre des systèmes tiers.
CVE-2026-31431 / Copy Fail est une vulnérabilité d’élévation locale de privilèges dans le noyau Linux.
Elle concerne le sous-système cryptographique du noyau, plus précisément l’interface utilisateur AF_ALG et le module algif_aead. La faille est liée à une optimisation introduite en 2017 dans le chemin AEAD du noyau Linux. Dans certaines conditions, un utilisateur local non privilégié peut provoquer une écriture contrôlée dans le page cache d’un fichier lisible, notamment un binaire setuid, ce qui peut conduire à une élévation de privilèges vers root.
La vulnérabilité est considérée comme High avec un score CVSS v3.1 de 7.8.
| Élément | Détail |
|---|---|
| CVE | CVE-2026-31431 |
| Nom public | Copy Fail |
| Type | Local Privilege Escalation, LPE |
| Composant | Linux kernel crypto subsystem |
| Module concerné | algif_aead |
| Interface | AF_ALG |
| Mécanisme impliqué | AEAD, authencesn, splice(), page cache |
| Score CVSS v3.1 | 7.8 High |
| Privilèges requis | Compte local non privilégié |
| Interaction utilisateur | Aucune |
| Impact | Confidentialité, intégrité et disponibilité élevées |
Les sources publiques indiquent que les distributions Linux embarquant un noyau dérivé d’une branche vulnérable depuis l’optimisation de 2017 peuvent être exposées.
Exemples de plateformes mentionnées dans les publications publiques :
| Distribution | Exemple de version noyau testée publiquement |
|---|---|
| Ubuntu 24.04 LTS | 6.17.0-1007-aws |
| Amazon Linux 2023 | 6.18.8-9.213.amzn2023 |
| RHEL 10.1 | 6.12.0-124.45.1.el10_1 |
| SUSE 16 | 6.12.0-160000.9-default |
| Debian | Selon version noyau et statut de sécurité |
| AlmaLinux / Rocky Linux / Oracle Linux | Selon version noyau et backports fournisseur |
Le statut exact dépend de la version du noyau, du fournisseur, des backports de sécurité et des correctifs déjà appliqués.
Cette vulnérabilité est particulièrement dangereuse dans les environnements où des utilisateurs ou workloads non fiables ont accès à un shell local ou à un environnement d’exécution partagé.
Environnements à prioriser :
Risque principal :
root ;uname -a
uname -r
lsmod | grep algif_aead || true
sudo lsof -nP | grep AF_ALG || true
dpkg -l | grep -E '^ii\\s+linux-image|^ii\\s+linux-modules'
rpm -qa | grep -E '^kernel|^kernel-core'
rpm -qa | grep -E '^kernel'
Option prioritaire : appliquer le correctif noyau fournisseur La remédiation correcte consiste à installer un noyau corrigé fourni par la distribution, puis à redémarrer sur ce noyau.
sudo apt update
sudo apt full-upgrade -y
sudo reboot
sudo dnf update -y kernel kernel-core kernel-modules
sudo reboot
sudo zypper refresh
sudo zypper patch
sudo reboot
# Après redémarrage :
uname -r
Si aucun noyau corrigé n’est encore disponible ou si un redémarrage immédiat est impossible, appliquer une mitigation temporaire.
echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo modprobe -r algif_aead 2>/dev/null || true
sudo rmmod algif_aead 2>/dev/null || true
sudo update-initramfs -u
sudo dracut -f
sudo mkinitrd
sudo reboot
sudo modprobe algif_aead
echo $?
Sur certains noyaux, le module peut être compilé directement dans le noyau et non chargeable/déchargeable sous forme de module.
grep CONFIG_CRYPTO_USER_API_AEAD /boot/config-$(uname -r)
CONFIG_CRYPTO_USER_API_AEAD=m
Le composant est un module. La mitigation par /etc/modprobe.d/ est applicable.
CONFIG_CRYPTO_USER_API_AEAD=y
Le composant est intégré au noyau. La mitigation par modprobe.d ne suffit pas.
Dans ce cas, utiliser de préférence :
Certaines sources mentionnent l’option noyau suivante comme contournement possible :
initcall_blacklist=algif_aead_init
À tester impérativement hors production avant généralisation. Cette option peut varier selon le noyau, la distribution et la configuration de démarrage.
Pour Docker, Podman, Kubernetes et CI/CD, il faut réduire la possibilité pour des workloads non fiables d’ouvrir des sockets AF_ALG.
sudo lsof -nP | grep AF_ALG || true
lsmod | grep algif_aead || true
find / -perm -4000 -type f 2>/dev/null
sudo ausearch -f /usr/bin/su 2>/dev/null || true
sudo auditctl -w /usr/bin/su -p x -k su_exec_monitoring
sudo ausearch -k su_exec_monitoring