CVE-2026-31431 — Copy Fail

Escalação de Privilégios Local no template criptográfico authencesn do kernel Linux via AF_ALG + splice().
Divulgado em 29 de abril de 2026 pela Theori (Xint Code).

Visão Geral

Resumo da Vulnerabilidade

Uma falha lógica no wrapper AEAD authencesn do kernel permite que um usuário local sem privilégios realize uma gravação determinística e controlada de 4 bytes no cache de páginas de qualquer arquivo legível do sistema — incluindo binários setuid como /usr/bin/su.

A causa raiz é uma otimização de processamento in-place de 2017 que colocava páginas do cache de páginas em um scatterlist gravável. O algoritmo authencesn grava 4 bytes de dados temporários fora da sua região de saída pretendida durante o rearranjo do Extended Sequence Number. Devido à estrutura do scatterlist introduzida pela otimização, esses 4 bytes caem no cache de páginas de um arquivo alimentado via splice() — contornando completamente as permissões de arquivo.

Sem condição de corrida. Sem tentativas. Sem risco de travamento. Determinístico em todas as distribuições testadas.

Comparação com Trabalhos Anteriores

Versões Afetadas

Vulneráveis: Kernel Linux 4.14 até 6.18.21 e 6.19.x antes de 6.19.12.

Todas as principais distribuições que fornecem kernels nesse intervalo são afetadas, incluindo:

Não afetadas: Ubuntu 26.04 (Resolute) e posteriores.

Mitigação

Opção 1 — Patch (Recomendado)

Atualize para um kernel contendo o commit mainline a664bf3d603d, que reverte a otimização in-place de 2017.

# Ubuntu / Debian
sudo apt update && sudo apt upgrade -y && sudo reboot

# RHEL / AlmaLinux / Amazon Linux
sudo dnf clean metadata && sudo dnf upgrade && sudo reboot

# SUSE
sudo zypper refresh && sudo zypper update kernel-default && sudo reboot

Opção 2 — Desabilitar algif_aead (Temporário)

Se não for possível aplicar o patch imediatamente, desabilite o módulo vulnerável para fechar a superfície de ataque.

Nota para sistemas da família RHEL: algif_aead é compilado diretamente no kernel em RHEL/AlmaLinux/CentOS (CONFIG_CRYPTO_USER_API_AEAD=y). O workaround via modprobe.d não funciona nesses sistemas. Use o método initcall_blacklist em vez disso.

Debian/Ubuntu (módulo carregável):

echo "install algif_aead /bin/false" | sudo tee /etc/modprobe.d/disable-algif.conf
sudo rmmod algif_aead 2>/dev/null || true

Família RHEL (compilado no kernel — requer reinicialização):

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

Confirme após a reinicialização:

grep initcall_blacklist /proc/cmdline

O Que Este Workaround Afeta

Opção 3 — seccomp (Defesa em Profundidade)

Para workloads não confiáveis — contêineres, runners de CI, ambientes sandbox — bloqueie a criação de sockets AF_ALG via política seccomp independentemente do estado do patch. Isso limita a superfície de ataque mesmo em kernels vulneráveis.

Detecção

Verifique se algif_aead está atualmente carregado ou em uso:

# Verifique se o módulo está carregado
lsmod | grep algif_aead

# Verifique se algum processo tem um socket AF_ALG aberto
lsof | grep AF_ALG
ss -xa | grep alg

Assinaturas de detecção em tempo de execução estão disponíveis no Sysdig Secure (regra: AF_ALG Page Cache Poisoning Leading to Privilege Escalation).

Referências

Linha do Tempo de Divulgação

Autor

xD The Watcher — Red Teamer, Ethical Hacker & Pesquisador de Segurança em IA
GitHub: @xd20111
Blog: yourhacker

Notas

Este repositório documenta a vulnerabilidade para fins de pesquisa e defesa. Para o writeup técnico autoritativo e o PoC oficial, consulte a divulgação da Theori linkada acima.

Se o seu modelo de ameaça inclui multi-tenancy com kernel compartilhado — contêineres em um host compartilhado, runners de CI, fazendas de build — a fronteira de isolamento agora está significativamente mais fraca até que o patch seja aplicado. Isolamento em nível de hardware ou VM é a resposta correta, não fronteiras de namespace.