sbeteta42/cve-2026-31431_je_sappelle_rootCVE-2026-31431 - Guida alla Rimedizione e Misure di Protezione
Questo repository documenta la vulnerabilità CVE-2026-31431, soprannominata Copy Fail, e propone una procedura di remissione difensiva per i sistemi Linux potenzialmente esposti.
⚠️ Questo repository è strettamente orientato alla difesa, all'audit autorizzato, all'hardening e alla remissione.
Non fornisce procedure di sfruttamento e non deve essere utilizzato per compromettere sistemi di terze parti.
CVE-2026-31431 / Copy Fail è una vulnerabilità di elevazione locale dei privilegi nel kernel Linux.
Riguarda il sottosistema crittografico del kernel, più precisamente l'interfaccia utente AF_ALG e il modulo algif_aead. La falla è legata a un'ottimizzazione introdotta nel 2017 nel percorso AEAD del kernel Linux. In determinate condizioni, un utente locale non privilegiato può provocare una scrittura controllata nella page cache di un file leggibile, in particolare un binario setuid, il che può portare a un'elevazione dei privilegi verso root.
La vulnerabilità è considerata High con un punteggio CVSS v3.1 di 7.8.
| Elemento | Dettaglio |
|---|---|
| CVE | CVE-2026-31431 |
| Nome pubblico | Copy Fail |
| Tipo | Local Privilege Escalation, LPE |
| Componente | Linux kernel crypto subsystem |
| Modulo interessato | algif_aead |
| Interfaccia | AF_ALG |
| Meccanismo coinvolto | AEAD, authencesn, splice(), page cache |
| Punteggio CVSS v3.1 | 7.8 High |
| Privilegi richiesti | Account locale non privilegiato |
| Interazione utente | Nessuna |
| Impatto | Riservatezza, integrità e disponibilità elevate |
Le fonti pubbliche indicano che le distribuzioni Linux che includono un kernel derivato da un ramo vulnerabile dall'ottimizzazione del 2017 possono essere esposte.
Esempi di piattaforme menzionate nelle pubblicazioni pubbliche:
| Distribuzione | Esempio di versione kernel testata pubblicamente |
|---|---|
| Ubuntu 24.04 LTS | 6.17.0-1007-aws |
| Amazon Linux 2023 | 6.18.8-9.213.amzn2023 |
| RHEL 10.1 | 6.12.0-124.45.1.el10_1 |
| SUSE 16 | 6.12.0-160000.9-default |
| Debian | In base alla versione del kernel e allo stato di sicurezza |
| AlmaLinux / Rocky Linux / Oracle Linux | In base alla versione del kernel e ai backport del fornitore |
Lo stato esatto dipende dalla versione del kernel, dal fornitore, dai backport di sicurezza e dalle patch già applicate.
Questa vulnerabilità è particolarmente pericolosa in ambienti in cui utenti o workload non affidabili hanno accesso a una shell locale o a un ambiente di esecuzione condiviso.
Ambienti da prioritizzare:
Rischio principale:
root;uname -a
uname -r
lsmod | grep algif_aead || true
sudo lsof -nP | grep AF_ALG || true
dpkg -l | grep -E '^ii\\s+linux-image|^ii\\s+linux-modules'
rpm -qa | grep -E '^kernel|^kernel-core'
rpm -qa | grep -E '^kernel'
Opzione prioritaria: applicare la patch kernel del fornitore La remissione corretta consiste nell'installare un kernel corretto fornito dalla distribuzione, quindi riavviare su tale kernel.
sudo apt update
sudo apt full-upgrade -y
sudo reboot
sudo dnf update -y kernel kernel-core kernel-modules
sudo reboot
sudo zypper refresh
sudo zypper patch
sudo reboot
# Dopo il riavvio:
uname -r
Se nessun kernel corretto è ancora disponibile o se un riavvio immediato è impossibile, applicare una mitigazione temporanea.
echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo modprobe -r algif_aead 2>/dev/null || true
sudo rmmod algif_aead 2>/dev/null || true
sudo update-initramfs -u
sudo dracut -f
sudo mkinitrd
sudo reboot
sudo modprobe algif_aead
echo $?
Su alcuni kernel, il modulo può essere compilato direttamente nel kernel e non essere caricabile/scaricabile come modulo.
grep CONFIG_CRYPTO_USER_API_AEAD /boot/config-$(uname -r)
CONFIG_CRYPTO_USER_API_AEAD=m
Il componente è un modulo. La mitigazione tramite /etc/modprobe.d/ è applicabile.
CONFIG_CRYPTO_USER_API_AEAD=y
Il componente è integrato nel kernel. La mitigazione tramite modprobe.d non è sufficiente.
In questo caso, utilizzare preferibilmente:
Alcune fonti menzionano la seguente opzione kernel come possibile bypass:
initcall_blacklist=algif_aead_init
Da testare obbligatoriamente fuori produzione prima della generalizzazione. Questa opzione può variare in base al kernel, alla distribuzione e alla configurazione di avvio.
Per Docker, Podman, Kubernetes e CI/CD, è necessario ridurre la possibilità per workload non affidabili di aprire socket AF_ALG.
sudo lsof -nP | grep AF_ALG || true
lsmod | grep algif_aead || true
find / -perm -4000 -type f 2>/dev/null
sudo ausearch -f /usr/bin/su 2>/dev/null || true
sudo auditctl -w /usr/bin/su -p x -k su_exec_monitoring
sudo ausearch -k su_exec_monitoring