CVE-2026-31431 — Copy Fail

Élévation de privilèges locale dans le modèle cryptographique authencesn du noyau Linux via AF_ALG + splice().
Divulgué le 29 avril 2026 par Theori (Xint Code).

Aperçu

Résumé de la vulnérabilité

Une faille logique dans le wrapper AEAD authencesn du noyau permet à un utilisateur local non privilégié d'effectuer une écriture déterministe et contrôlée de 4 octets dans le cache de pages de tout fichier lisible sur le système — y compris les binaires setuid tels que /usr/bin/su.

La cause racine est une optimisation de traitement en place de 2017 qui plaçait les pages du cache de pages dans une scatterlist inscriptible. L'algorithme authencesn écrit 4 octets de données temporaires en dehors de sa région de sortie prévue lors du réarrangement du numéro de séquence étendu. En raison de la structure de scatterlist introduite par l'optimisation, ces 4 octets atterrissent dans le cache de pages d'un fichier fourni via splice() — contournant entièrement les permissions de fichiers.

Aucune condition de course. Aucune nouvelle tentative. Aucun risque de plantage. Déterministe sur toutes les distributions testées.

Comparaison avec les travaux antérieurs

Versions affectées

Vulnérables : Noyau Linux 4.14 jusqu'à 6.18.21 et 6.19.x avant 6.19.12.

Toutes les principales distributions fournissant des noyaux dans cette plage sont affectées, notamment :

Non affectées : Ubuntu 26.04 (Resolute) et versions ultérieures.

Atténuation

Option 1 — Correctif (recommandé)

Mettez à jour vers un noyau contenant le commit principal a664bf3d603d, qui annule l'optimisation en place de 2017.

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y && sudo reboot

# RHEL / AlmaLinux / Amazon Linux
sudo dnf clean metadata && sudo dnf upgrade && sudo reboot

# SUSE
sudo zypper refresh && sudo zypper update kernel-default && sudo reboot

Option 2 — Désactiver algif_aead (temporaire)

Si un correctif immédiat n'est pas possible, désactivez le module vulnérable pour fermer la surface d'attaque.

Remarque pour les systèmes de la famille RHEL : algif_aead est intégré au noyau sur RHEL/AlmaLinux/CentOS (CONFIG_CRYPTO_USER_API_AEAD=y). La solution de contournement modprobe.d ne fonctionne pas sur ces systèmes. Utilisez plutôt la méthode initcall_blacklist.

Debian/Ubuntu (module chargeable) :

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

Famille RHEL (intégré au noyau — nécessite un redémarrage) :

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

Confirmez après le redémarrage :

grep initcall_blacklist /proc/cmdline

Effets de cette solution de contournement

Option 3 — seccomp (défense en profondeur)

Pour les charges de travail non fiables — conteneurs, exécuteurs CI, environnements sandbox — bloquez la création de sockets AF_ALG via une politique seccomp quel que soit l'état du correctif. Cela limite la surface d'attaque même sur les noyaux vulnérables.

Détection

Vérifiez si algif_aead est actuellement chargé ou utilisé :

# Vérifier si le module est chargé
lsmod | grep algif_aead

# Vérifier si un processus a une socket AF_ALG ouverte
lsof | grep AF_ALG
ss -xa | grep alg

Des signatures de détection en temps réel sont disponibles dans Sysdig Secure (règle : AF_ALG Page Cache Poisoning Leading to Privilege Escalation).

Références

Chronologie de divulgation

Auteur

xD The Watcher — Red Teamer, Ethical Hacker & Chercheur en sécurité IA
GitHub : @xd20111
Blog : yourhacker

Remarques

Ce dépôt documente la vulnérabilité à des fins de recherche et de défense. Pour l'analyse technique faisant autorité et le PoC officiel, référez-vous à la divulgation de Theori liée ci-dessus.

Si votre modèle de menace inclut la multi-location à noyau partagé — conteneurs sur un hôte partagé, exécuteurs CI, fermes de compilation — la frontière d'isolation est désormais significativement plus faible jusqu'au correctif. L'isolation au niveau matériel ou VM est la réponse appropriée, pas les frontières de namespace.