sbeteta42/cve-2026-31431_je_sappelle_rootCVE-2026-31431 - Guia de Remediação e Medidas de Proteção
Este repositório documenta a vulnerabilidade CVE-2026-31431, apelidada de Copy Fail, e propõe um procedimento de remediação defensiva para sistemas Linux potencialmente expostos.
⚠️ Este repositório é estritamente orientado à defesa, auditoria autorizada, endurecimento e remediação.
Ele não fornece procedimento de exploração e não deve ser usado para comprometer sistemas de terceiros.
CVE-2026-31431 / Copy Fail é uma vulnerabilidade de elevação local de privilégios no kernel Linux.
Ela afeta o subsistema criptográfico do kernel, mais precisamente a interface de usuário AF_ALG e o módulo algif_aead. A falha está relacionada a uma otimização introduzida em 2017 no caminho AEAD do kernel Linux. Sob certas condições, um usuário local não privilegiado pode causar uma escrita controlada no page cache de um arquivo legível, incluindo um binário setuid, o que pode levar à elevação de privilégios para root.
A vulnerabilidade é considerada Alta com uma pontuação CVSS v3.1 de 7.8.
| Elemento | Detalhe |
|---|---|
| CVE | CVE-2026-31431 |
| Nome público | Copy Fail |
| Tipo | Local Privilege Escalation, LPE |
| Componente | Linux kernel crypto subsystem |
| Módulo afetado | algif_aead |
| Interface | AF_ALG |
| Mecanismo envolvido | AEAD, authencesn, splice(), page cache |
| Pontuação CVSS v3.1 | 7.8 Alta |
| Privilégios necessários | Conta local não privilegiada |
| Interação do usuário | Nenhuma |
| Impacto | Confidencialidade, integridade e disponibilidade altas |
As fontes públicas indicam que distribuições Linux que utilizam um kernel derivado de uma ramificação vulnerável desde a otimização de 2017 podem estar expostas.
Exemplos de plataformas mencionadas nas publicações públicas:
| Distribuição | Exemplo de versão de kernel testada publicamente |
|---|---|
| Ubuntu 24.04 LTS | 6.17.0-1007-aws |
| Amazon Linux 2023 | 6.18.8-9.213.amzn2023 |
| RHEL 10.1 | 6.12.0-124.45.1.el10_1 |
| SUSE 16 | 6.12.0-160000.9-default |
| Debian | Dependendo da versão do kernel e do status de segurança |
| AlmaLinux / Rocky Linux / Oracle Linux | Dependendo da versão do kernel e dos backports do fornecedor |
O status exato depende da versão do kernel, do fornecedor, dos backports de segurança e dos patches já aplicados.
Esta vulnerabilidade é particularmente perigosa em ambientes onde usuários ou workloads não confiáveis têm acesso a um shell local ou a um ambiente de execução compartilhado.
Ambientes a priorizar:
Risco principal:
root;uname -a
uname -r
lsmod | grep algif_aead || true
sudo lsof -nP | grep AF_ALG || true
dpkg -l | grep -E '^ii\\s+linux-image|^ii\\s+linux-modules'
rpm -qa | grep -E '^kernel|^kernel-core'
rpm -qa | grep -E '^kernel'
Opção prioritária: aplicar o patch de kernel do fornecedor A remediação correta consiste em instalar um kernel corrigido fornecido pela distribuição e, em seguida, reiniciar com esse kernel.
sudo apt update
sudo apt full-upgrade -y
sudo reboot
sudo dnf update -y kernel kernel-core kernel-modules
sudo reboot
sudo zypper refresh
sudo zypper patch
sudo reboot
# Após reiniciar:
uname -r
Se nenhum kernel corrigido ainda estiver disponível ou se uma reinicialização imediata for impossível, aplicar uma mitigação temporária.
echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif-aead.conf
sudo modprobe -r algif_aead 2>/dev/null || true
sudo rmmod algif_aead 2>/dev/null || true
sudo update-initramfs -u
sudo dracut -f
sudo mkinitrd
sudo reboot
sudo modprobe algif_aead
echo $?
Em alguns kernels, o módulo pode ser compilado diretamente no kernel e não pode ser carregado/descarregado como módulo.
grep CONFIG_CRYPTO_USER_API_AEAD /boot/config-$(uname -r)
CONFIG_CRYPTO_USER_API_AEAD=m
O componente é um módulo. A mitigação via /etc/modprobe.d/ é aplicável.
CONFIG_CRYPTO_USER_API_AEAD=y
O componente está integrado ao kernel. A mitigação via modprobe.d não é suficiente.
Nesse caso, usar preferencialmente:
Algumas fontes mencionam a seguinte opção de kernel como possível contorno:
initcall_blacklist=algif_aead_init
Testar obrigatoriamente fora de produção antes da generalização. Essa opção pode variar conforme o kernel, a distribuição e a configuração de inicialização.
Para Docker, Podman, Kubernetes e CI/CD, é necessário reduzir a possibilidade de workloads não confiáveis abrirem sockets AF_ALG.
sudo lsof -nP | grep AF_ALG || true
lsmod | grep algif_aead || true
find / -perm -4000 -type f 2>/dev/null
sudo ausearch -f /usr/bin/su 2>/dev/null || true
sudo auditctl -w /usr/bin/su -p x -k su_exec_monitoring
sudo ausearch -k su_exec_monitoring