🔥 CVE-2026-31431 - "Falha de Cópia !!!"

Uma escalada de privilégio local surpreendentemente simples, porém letal, no kernel Linux

📌 Visão Geral

CVE-2026-31431 (apelidada de "Falha de Cópia") é uma vulnerabilidade de escalada de privilégio local no subsistema criptográfico do kernel Linux, afetando especificamente a interface algif_aead.

Um usuário local sem privilégios pode explorar essa falha para realizar uma gravação controlada de 4 bytes no cache de páginas de qualquer arquivo legível do sistema — incluindo binários setuid — permitindo, em última análise, execução arbitrária de código como root.

🛠️ Causa Raiz

A vulnerabilidade foi introduzida em 2017 pelo commit 72548b093ee3 ("crypto: algif_aead - support in-place operations").

O kernel assumiu incorretamente que as requisições AEAD poderiam ser executadas com segurança in-place (req->src == req->dst). No entanto, ao usar soquetes AF_ALG com splice() a partir de arquivos regulares, os buffers de origem e destino geralmente residem em mapeamentos de memória diferentes.

Essa incompatibilidade levou a um erro de lógica que permitia corrupção controlada de memória no cache de páginas.

🔥 Impacto

• Vetor de Ataque: Local
• Complexidade: Baixa (existem exploits públicos)
• Privilégios Necessários: Nenhum (usuário sem privilégios)
• Impacto: Comprometimento total do sistema (acesso root)

A exploração é trivial. Um PoC em Python de ~10 linhas pode obter root de forma confiável em sistemas sem patch.

📊 Severidade

✅ Sistemas Afetados

• A maioria das distribuições Linux executando kernels de 2017 até o início de 2026
• Ubuntu, Debian, RHEL, CentOS, Fedora, Amazon Linux, SUSE, Arch, etc.
• Qualquer kernel anterior ao commit de correção a664bf3 (ou backports equivalentes)

🛡️ Mitigação e Correção

Ação Recomendada: Atualize seu kernel imediatamente.

A correção oficial reverte a otimização in-place problemática em crypto/algif_aead.c.

Comandos Rápidos:

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y

# RHEL / Fedora / Rocky / Alma
sudo dnf update kernel -y

# Check kernel version
uname -r

Solução Temporária (se a aplicação imediata do patch não for possível):

• Desative namespaces de usuário sem privilégios
• Restrinja o uso de soquetes AF_ALG via seccomp ou AppArmor/SELinux

📜 Exploit

Exploits públicos já estão disponíveis, incluindo um proof-of-concept em Python muito pequeno e confiável.

⚠️ Aviso: Sistemas que permanecerem sem patch após a divulgação são altamente vulneráveis.

🔗 Referências

• Patch do Kernel Linux
• Detalhes do CVE
• Descoberta e Análise Originais