El director de seguridad de la información de SlowMist (SlowMist) 23pds publicó en X el 30 de abril que, en sistemas Linux, se encontró una vulnerabilidad de lógica llamada «Copy Fail» (CVE-2026-31431), que puede aprovecharse con suma facilidad; SlowMist recomienda a los usuarios actualizar el kernel de forma inmediata.
Información básica de la vulnerabilidad y alcance afectado
Según el informe técnico del 29 de abril del equipo de investigación Xint Code, CVE-2026-31431 es una vulnerabilidad de lógica en la plantilla de cifrado/validación de núcleo de Linux (AEAD) algif_aead.c, que aprovecha una llamada en cadena de AF_ALG + la función splice(). Esto permite a usuarios locales sin privilegios realizar una escritura controlada determinista de 4 bytes en la caché de páginas de archivos arbitrarios legibles del sistema y, posteriormente, obtener privilegios de root al comprometer binarios setuid.
Según el informe de Xint Code, se ha probado y confirmado que las distribuciones y versiones de kernel afectadas incluyen:
Ubuntu 24.04 LTS: kernel 6.17.0-1007-aws
Amazon Linux 2023: kernel 6.18.8-9.213.amzn2023
RHEL 10.1: kernel 6.12.0-124.45.1.el10_1
SUSE 16: kernel 6.12.0-160000.9-default
Según el informe de Xint Code, la causa raíz de esta vulnerabilidad radica en una optimización en su lugar (in-place) de AEAD introducida en 2017 en algif_aead.c (commit 72548b093ee3), que hace que las páginas de caché provenientes de splice() se coloquen en una lista dispersa escribible; junto con la operación de escritura temporal del encapsulador AEAD authenticsn, esto conforma una ruta explotable.
Cronograma de divulgación coordinada y medidas de remediación
Según el cronograma divulgado por Xint Code el 29 de abril, CVE-2026-31431 se reportó el 23 de marzo de 2026 al equipo de seguridad del kernel de Linux. El parche (a664bf3d603d) se completó su revisión el 25 de marzo, se envió al kernel principal el 1 de abril, el 22 de abril se asignó formalmente el CVE y el 29 de abril se divulgó públicamente.
Según el informe de Xint Code, las medidas de remediación incluyen: actualizar los paquetes de software del kernel de la distribución (las distribuciones principales deberían publicar este parche mediante la actualización normal del kernel). Si se necesita mitigación inmediata, se puede impedir la creación de sockets AF_ALG mediante seccomp, o ejecutar el siguiente comando para añadir el módulo algif_aead a una lista negra: echo “install algif_aead /bin/false” > /etc/modprobe.d/disable-algif-aead.conf.
Según el informe de Xint Code, esta vulnerabilidad también afecta escenarios de cruce de límites entre contenedores, debido a que la caché de páginas se comparte con el host; los impactos relacionados con la evasión de contenedores de Kubernetes se divulgarán en la segunda parte.
Preguntas frecuentes
¿Cuál es el alcance del impacto de CVE-2026-31431?
Según el informe de Xint Code del 29 de abril y la alerta de 23pds de SlowMist del 30 de abril, CVE-2026-31431 afecta a casi todas las distribuciones Linux principales publicadas desde 2017, incluyendo Ubuntu, Amazon Linux, RHEL y SUSE; un script de Python de 732 bytes puede obtener privilegios de root sin necesidad de privilegios.
¿Cuál es la mitigación temporal de esta vulnerabilidad?
Según el informe de Xint Code del 29 de abril, se puede bloquear la creación de sockets AF_ALG mediante seccomp, o ejecutar echo “install algif_aead /bin/false” > /etc/modprobe.d/disable-algif-aead.conf para añadir el módulo algif_aead a la lista negra y mitigar de forma inmediata.
¿Cuándo se publicó el parche de CVE-2026-31431?
Según el cronograma divulgado por Xint Code el 29 de abril, el parche (a664bf3d603d) se envió al kernel principal de Linux el 1 de abril de 2026; las distribuciones principales deberían publicar este parche mediante la actualización normal de paquetes de kernel.
Aviso legal: La información de esta página puede proceder de terceros y no representa los puntos de vista ni las opiniones de Gate. El contenido que aparece en esta página es solo para fines informativos y no constituye ningún tipo de asesoramiento financiero, de inversión o legal. Gate no garantiza la exactitud ni la integridad de la información y no se hace responsable de ninguna pérdida derivada del uso de esta información. Las inversiones en activos virtuales conllevan riesgos elevados y están sujetas a una volatilidad significativa de los precios. Podrías perder todo el capital invertido. Asegúrate de entender completamente los riesgos asociados y toma decisiones prudentes de acuerdo con tu situación financiera y tu tolerancia al riesgo. Para obtener más información, consulta el
Aviso legal.
Artículos relacionados
La filtración de la clave privada de Syndicate Labs conduce a un drenaje $330K SYND el 1 de mayo; la empresa se compromete a reembolsar el 100%
De acuerdo con Syndicate Labs, el 1 de mayo una filtración de clave privada provocó actualizaciones maliciosas en los contratos del puente entre cadenas de la compañía en dos blockchains. Los atacantes drenaron aproximadamente 18,5 millones de tokens SYND (con un valor de alrededor de 330.000 dólares) y cerca de 50.000 dólares en tokens de usuarios. El incidente solo afectó a
GateNewshace2h
Los actores norcoreanos extraen $577M en ciberataques cripto hasta abril de 2026, representando el 76% de las pérdidas globales
Según TRM Labs, actores norcoreanos extrajeron aproximadamente 577 millones de dólares en los primeros cuatro meses de 2026, lo que representa el 76% de todas las pérdidas globales por hackeos de criptomonedas durante el período. El robo se origina en dos incidentes de abril: el exploit de KelpDAO por 292 millones de dólares y el de Drift por 285 millones de dólares
GateNewshace5h
Corea del Norte representó el 76% de las pérdidas por hackeos cripto de 2026 en los primeros cuatro meses, $577M robado: TRM Labs
Según TRM Labs, los actores norcoreanos extrajeron aproximadamente 577 millones de dólares durante los primeros cuatro meses de 2026, lo que representa el 76% de todas las pérdidas globales por hackeos de criptomonedas durante el periodo. Las pérdidas provienen de dos incidentes de abril: el exploit de KelpDAO por 292 millones de dólares y el de Drift Pr
GateNewshace5h
Kelp realiza una actualización integral del puente entre cadenas en dos semanas y ether.fi endurece WeETH al mismo tiempo
Tras el hackeo de un puente de interoperabilidad de rsETH el 18 de abril, dos semanas después, Kelp completó una actualización el 29/4: los validadores el 4/4, 64 confirmaciones de bloque, topología en hub-and-spoke y los mensajes entre cadenas deben pasar obligatoriamente por la red principal de Ethereum como intermediaria. ether.fi también endureció weETH al mismo tiempo y añadió una donación de 5.000 ETH de DeFi United. DeFi United movilizó más de 70.000 ETH para fondos de rescate, y los tipos de interés del mercado en Aave bajaron de forma notable; pero los atacantes aún conservan alrededor de 107.000 rsETH pendientes de liquidación, y se requiere una recuperación mediante gobernanza y un proceso tipo comité.
ChainNewsAbmediahace6h
Wasabi sufre hack por 2,9 millones de dólares: se filtró la clave privada del administrador y el contrato fue modificado a una versión maliciosa
El protocolo DeFi de derivados Wasabi Protocol sufrió el 4/30 una filtración de llaves privadas del administrador; el atacante obtuvo el ADMIN_ROLE a través del Deployer EOA y luego, usando el mecanismo de actualización UUPS, reemplazó los perp vaults y LongPool por versiones maliciosas, extrayendo fondos directamente. CertiK estima una pérdida de alrededor de 2,9 millones de dólares; el impacto abarca la red principal de Ethereum y Base. Wasabi ya anunció la suspensión de las interacciones, y Virtuals Protocol también congeló las garantías relacionadas con Wasabi. Este incidente pone de relieve el riesgo que supone la seguridad de las llaves privadas en el ecosistema aguas abajo.
ChainNewsAbmediahace7h
