慢霧警告：Linux Copy Fail 漏洞極易利用，建議盡快升級核心

據慢霧（SlowMist）首席資訊安全長 23pds 於 4 月 30 日在 X 發文，Linux 系統中發現一個名為「Copy Fail」的邏輯漏洞（CVE-2026-31431），極易被利用，慢霧建議用戶迅速升級核心。

漏洞基本資訊與受影響範圍

根據 Xint Code 研究團隊 4 月 29 日的技術報告，CVE-2026-31431 是 Linux 核心驗證加密（AEAD）模板 algif_aead.c 中的邏輯漏洞，利用 AF_ALG + splice() 函數鏈式調用，允許非特權本機用戶對系統任意可讀檔案的頁面快取進行確定性的 4 位元組受控寫入，進而通過破壞 setuid 二進位檔案取得 root 權限。

根據 Xint Code 報告，已測試確認受影響的發行版及核心版本包括：

Ubuntu 24.04 LTS：核心 6.17.0-1007-aws

Amazon Linux 2023：核心 6.18.8-9.213.amzn2023

RHEL 10.1：核心 6.12.0-124.45.1.el10_1

SUSE 16：核心 6.12.0-160000.9-default

根據 Xint Code 報告，此漏洞的根本原因在於 2017 年引入 algif_aead.c 的就地（in-place）AEAD 優化（提交 72548b093ee3），導致來自 splice() 的頁面快取頁被置於可寫入的分散清單中，與 authenticsn AEAD 封裝器的臨時寫入操作共同構成可利用路徑。

協調披露時間表與修補措施

根據 Xint Code 4 月 29 日披露的時間表，CVE-2026-31431 於 2026 年 3 月 23 日報告至 Linux 核心安全團隊，補丁（a664bf3d603d）於 3 月 25 日完成審核，4 月 1 日提交至主線核心，4 月 22 日 CVE 正式分配，4 月 29 日公開披露。

根據 Xint Code 報告，修補措施包括：更新發行版核心軟體包（主流發行版應通過正常核心更新發布此補丁）。如需立即緩解，可通過 seccomp 阻止 AF_ALG 套接字創建，或執行以下命令將 algif_aead 模組列入黑名單：echo “install algif_aead /bin/false” > /etc/modprobe.d/disable-algif-aead.conf。

根據 Xint Code 報告，此漏洞亦影響跨容器邊界的場景，因頁面快取由主機共享；Kubernetes 容器逃逸的相關影響將在第二部分進行披露。

常見問題

CVE-2026-31431 的影響範圍為何？

根據 Xint Code 4 月 29 日報告及慢霧 23pds 4 月 30 日告警，CVE-2026-31431 影響 2017 年以來發布的幾乎所有主流 Linux 發行版，包括 Ubuntu、Amazon Linux、RHEL 及 SUSE，732 位元組 Python 腳本可在無需特權的情況下取得 root 權限。

此漏洞的臨時緩解方法是什麼？

根據 Xint Code 4 月 29 日報告，可通過 seccomp 阻止 AF_ALG 套接字創建，或執行 echo “install algif_aead /bin/false” > /etc/modprobe.d/disable-algif-aead.conf 將 algif_aead 模組列入黑名單以立即緩解。

CVE-2026-31431 的補丁何時發布？

根據 Xint Code 4 月 29 日披露的時間表，補丁（a664bf3d603d）於 2026 年 4 月 1 日提交至 Linux 主線核心，主流發行版應通過正常核心軟體包更新發布此補丁。