CVE-2026-31431 (Kopierfehler): KernelCare Live-Patches veröffentlicht

CVE-2026-31431 („Copy Fail“) ist eine Schwachstelle im Linux-Kernel, die eine lokale Rechteausweitung ermöglicht, und zwar im algif_aead Modul (AF_ALG). Jeder lokale Benutzer ohne Sonderrechte kann sich mit einem 732 Byte großen Python-Exploit Root-Rechte verschaffen. Betroffen sind alle Kernel seit 2017.

Die Entwickler von KernelCare haben die Korrektur für den veröffentlichten Exploit unter AlmaLinux 9.6-FIPS und Oracle UEK7 getestet und anschließend Live-Patches für die unten aufgeführten Betriebssysteme veröffentlicht. Kunden müssen kein Wartungsfenster einplanen oder auf die nächste Errata-Veröffentlichung des Herstellers warten. Der Patch wird auf den laufenden Kernel angewendet und wird ohne Neustart wirksam.

Hintergrund: copy.fail · Xint-Bericht · NVD · Korrektur durch den Upstream-Entwickler

Warum dies dringend ist

Der Exploit ist klein (732 Byte), öffentlich zugänglich und zuverlässig. Er zielt auf eine Schwachstelle ab, die 2017 im Upstream eingeführt wurde, sodass die betroffene Systemfamilie RHEL, CentOS, AlmaLinux, Rocky Linux, Oracle Linux, Ubuntu, Debian, Proxmox VE und CloudLinux mit unterstützten Kerneln umfasst. Der Angriffsweg ist eine saubere Eskalation von lokalen Rechten auf Root-Rechte ohne Authentifizierungsanforderung.

Auf jedem System, auf dem nicht vertrauenswürdige Benutzer Code ausführen können (Shared Hosting, Multi-Tenant-Plattformen, CI-Runner, Container-Hosts, bei denen Sicherheitslücken ein Problem darstellen), sollte dies als ein Fall behandelt werden, der noch am selben Tag behoben werden muss.

KernelCare Live-Patches: ab sofort verfügbar, kein Neustart erforderlich

Die Entwickler von KernelCare haben den vollständigen Satz an Korrekturen ermittelt (drei Upstream-Commits, nicht nur den algif_aead (Revert), haben ihn anhand des veröffentlichten Exploits auf AlmaLinux 9.6-FIPS und Oracle UEK7 validiert und Live-Patches für alle unterstützten Distributionen noch vor den Errata der Hersteller bereitgestellt. Kunden erhalten den Fix automatisch bei ihrem nächsten kcarectl --update.

Für die folgenden Betriebssysteme wurden Live-Patches für CVE-2026-31431 veröffentlicht:

• Alma Linux 8
• almalinux9
• cloudlinux7h
• CloudLinux 8
• CentOS 8
• Red Hat 8
• Red Hat 9
• proxmox-ve-7-5.15
• ubuntu-focal-lts-jammy-aws
• ubuntu-focal-lts-jammy
• ubuntu-focal-lts-jammy-azure
• ubuntu-jammy-aws
• ubuntu-jammy-azure
• ubuntu-jammy
• ubuntu-bionic-lts-focal
• ubuntu-bionic-lts-focal-aws
• ubuntu-focal-azure
• ubuntu-focal-aws
• ubuntu-focal
• rockylinux8
• rockylinux9
• oraclelinux8
• oraclelinux8-uek6
• oraclelinux7-uek6
• oraclelinux9
• Debian 11
• Debian 12

Auch ELS für FIPS-Kernel werden behandelt

Die FIPS-validierten Kernel von TuxCare mit „Endless Lifecycle Support“ für AlmaLinux 9.2 und 9.6 wurden ebenfalls gepatcht. ELS-FIPS-Kunden erhalten den Fix über denselben KernelCare-Feed (Versionen K20260430_13 bzw. K20260430_07), ohne dass separate Maßnahmen erforderlich sind.

Was KernelCare-Kunden tun müssen

In den meisten Fällen nichts. Wenn kcarectl Wenn die automatische Aktualisierung aktiviert ist (Standardeinstellung), wird der Patch bei der nächsten geplanten Abfrage abgerufen und angewendet. So wenden Sie ihn sofort an:

kcarectl --update

So überprüfen Sie, ob Sie auf dem neuesten Stand sind

Überprüfen Sie, ob der Live-Patch geladen ist:

kcarectl --patch-info | grep -i 'CVE-2026-31431\|algif_aead\|copy.fail'

Ein übereinstimmender Eintrag bestätigt den Schutz. Die von uname -r ändert sich bei KernelCare nicht, da der laufende Kernel im Speicher gepatcht und nicht auf der Festplatte ersetzt wird.

Vorübergehende Abhilfe (falls Sie das Update nicht sofort durchführen können)

Falls die Installation des KernelCare-Live-Patches derzeit nicht möglich ist, können Sie das algif_aead initcall über grubby. Dadurch wird verhindert, dass die AEAD-AF_ALG-Schnittstelle beim Systemstart registriert wird, und die Angriffsfläche wird verringert, ohne den Kernel zu ersetzen. Erfordert einen Neustart.

Wende die Einschränkung an und starte den Computer neu:

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

Überprüfen Sie nach dem Neustart, ob der Parameter in der aktiven Kernel-Befehlszeile enthalten ist:

sudo grubby --info=ALL | grep initcall_blacklist

So machen Sie die Änderung rückgängig, nachdem der Live-Patch angewendet wurde:

sudo grubby --update-kernel=ALL --remove-args="initcall_blacklist=algif_aead_init"
sudo reboot

Kompatibilität: dm-crypt / LUKS, kTLS, IPsec, SSH und die Standard-Builds von OpenSSL / GnuTLS sind nicht abhängig von AF_ALG und sind davon nicht betroffen. Nur Anwendungen, die explizit AF_ALG für AEAD-Verschlüsselungsalgorithmen (zum Beispiel OpenSSL mit der afalg Engine aktiviert oder Hardware-Krypto-Offload über AF_ALG) davon betroffen sein.

Warnung: Die „modprobe“-Umgehungslösung funktioniert nicht

Die auf oss-security kursierende Abhilfemaßnahme, die Folgendes hinzufügt install algif_aead /bin/false in eine Datei unter /etc/modprobe.d/ und läuft rmmod algif_aead, funktioniert nicht auf Distributionen der RHEL-Familie (RHEL, CentOS, AlmaLinux, Rocky Linux, Oracle Linux, CloudLinux) oder auf den meisten anderen gängigen Distributionen.

algif_aead ist in den Kernel integriert (CONFIG_CRYPTO_USER_API_AEAD=y), also modprobe.d Regeln können das Laden nicht blockieren und rmmod kann es nicht entfernen. Die Befehle werden fehlerfrei ausgeführt, lassen das System jedoch unverändert und vermitteln so ein trügerisches Gefühl der Sicherheit.

Sie können überprüfen, ob das Modul integriert ist:

modinfo algif_aead | grep filename
# (builtin)

Verwenden Sie die grubby-basierte Maßnahmen zur Risikominderung, wie oben beschrieben.

Links

• copy.fail – ursprüngliche Offenlegung
• NVD-Eintrag für CVE-2026-31431
• Xint-Bericht
• Thread zur Offenlegung von Sicherheitslücken bei OSS
• Upstream-Korrektur (Mainline-Commit a664bf3d603d)

Sie nutzen KernelCare noch nicht?

KernelCare stellt Live-Patches für Kernel-CVEs für laufende Systeme bereit, ohne dass ein Neustart oder ein Wartungsfenster erforderlich ist. Das gleiche Bereitstellungsmodell, mit dem CVE-2026-31431 noch vor den Errata der Hersteller behoben wurde, gilt künftig für alle Kernel-CVEs mit hohem Schweregrad.

Starten Sie jetzt eine kostenlose Testversion