CVE-2026-31431, também conhecida como Copy.Fail — workaround via eBPF

Por que isso importa

Esta CVE permite que um usuário autorizado altere a cópia em cache de qualquer arquivo legível, o que leva à Escalação Local de Privilégios (também conhecida como exploit de root local), escape de sandbox/container e outros problemas. Ela funciona criando um socket AF_ALG fornecido pelos módulos do kernel algif*.

O workaround conhecido atualmente recomenda desabilitar o módulo algif_aead, o que não é possível se o módulo for embutido no kernel, como no Fedora Linux, Oracle Linux e outros baseados em RHEL. Além disso, alguns upstreams ainda não possuem o patch. Isso significa que seus sistemas estarão vulneráveis até que você aplique o patch no kernel.

Solução

Este pacote fornece dois programas eBPF:

• ebpf-alg-socket-filter, que filtra a criação de sockets AF_ALG por meio do mecanismo de kernel eBPF/LSM
• ebpf-alg-socket-killer, que mata qualquer programa que crie um socket AF_ALG

Recomendo usar o primeiro SE você tiver o módulo eBPF LSM habilitado no seu kernel. Você pode verificar isso chamando

cat /sys/kernel/security/lsm