CVE-2026-31431 (Error de copia): se han publicado parches en tiempo real de KernelCare

CVE-2026-31431 («Copy Fail») es una vulnerabilidad de escalada de privilegios locales en el núcleo de Linux en el algif_aead módulo (AF_ALG). Cualquier usuario local sin privilegios puede obtener privilegios de root mediante un exploit de Python de 732 bytes. Todos los núcleos desde 2017 se ven afectados.

El equipo de ingeniería de KernelCare ha validado la corrección frente al exploit publicado en AlmaLinux 9.6-FIPS y Oracle UEK7, y posteriormente ha lanzado parches en tiempo real para los sistemas operativos que se enumeran a continuación. Los clientes no necesitan programar una ventana de mantenimiento ni esperar a la próxima errata del proveedor. El parche se aplica al núcleo en ejecución y surte efecto sin necesidad de reiniciar el sistema.

Antecedentes: copy.fail · Informe de Xint · NVD · Corrección del desarrollador original

Por qué es urgente

El exploit es pequeño (732 bytes), está disponible públicamente y es fiable. Aprovecha una vulnerabilidad introducida en el código fuente en 2017, por lo que el conjunto de sistemas afectados incluye RHEL, CentOS, AlmaLinux, Rocky Linux, Oracle Linux, Ubuntu, Debian, Proxmox VE y CloudLinux que ejecuten kernels compatibles. La vía de compromiso consiste en una escalada de privilegios de usuario local a root sin necesidad de autenticación.

En cualquier sistema en el que usuarios no de confianza puedan ejecutar código (alojamiento compartido, plataformas multitenant, ejecutores de CI, hosts de contenedores en los que exista riesgo de fugas), esto debe considerarse una situación que requiera la aplicación de parches el mismo día.

Parches en tiempo real de KernelCare: ya disponibles, sin necesidad de reiniciar

El equipo de ingeniería de KernelCare identificó el conjunto completo de correcciones (tres confirmaciones del código original, no solo la algif_aead revertir), lo validamos comparándolo con el exploit publicado en AlmaLinux 9.6-FIPS y Oracle UEK7, y desplegamos parches en tiempo real en todas las distribuciones compatibles antes de que los proveedores publicaran sus erratas. Los clientes reciben la corrección automáticamente en su próxima kcarectl --update.

Se han publicado parches de seguridad para CVE-2026-31431 para los siguientes sistemas operativos:

• Almalinux 8
• Almalinux 9
• cloudlinux7h
• CloudLinux 8
• CentOS 8
• Red Hat 8
• Red Hat 9
• proxmox-ve-7-5.15
• ubuntu-focal-lts-jammy-aws
• ubuntu-focal-lts-jammy
• ubuntu-focal-lts-jammy-azure
• ubuntu-jammy-aws
• ubuntu-jammy-azure
• ubuntu-jammy
• ubuntu-bionic-lts-focal
• ubuntu-bionic-lts-focal-aws
• ubuntu-focal-azure
• ubuntu-focal-aws
• ubuntu-focal
• rockylinux8
• rockylinux9
• oraclelinux8
• oraclelinux8-uek6
• oraclelinux7-uek6
• oraclelinux9
• Debian 11
• debian12

También se tratan los ELS para los núcleos FIPS

Los núcleos con soporte de ciclo de vida ilimitado (ELS) de TuxCare, validados según la norma FIPS, para AlmaLinux 9.2 y 9.6 también han sido parcheados. Los clientes de ELS-FIPS reciben la corrección a través del mismo canal de KernelCare (versiones K20260430_13 y K20260430_07, respectivamente) sin necesidad de realizar ninguna acción adicional.

Lo que deben hacer los clientes de KernelCare

En la mayoría de los casos, nada. Si kcarectl Si la actualización automática está activada (configuración predeterminada), el parche se descargará y se aplicará en la próxima consulta programada. Para aplicarlo de inmediato:

kcarectl --update

Cómo comprobar si tienes instaladas las actualizaciones

Comprueba que el parche en tiempo real esté cargado:

kcarectl --patch-info | grep -i 'CVE-2026-31431\|algif_aead\|copy.fail'

Una coincidencia confirma la protección. La cadena de la versión del núcleo devuelta por uname -r Esto no cambia con KernelCare, ya que el núcleo en ejecución se parchea en memoria en lugar de sustituirse en el disco.

Solución provisional (si no puedes actualizar de inmediato)

Si no es posible aplicar el parche en tiempo real de KernelCare en este momento, puedes añadir a la lista negra el algif_aead initcall a través de grubby. Esto evita que la interfaz AEAD AF_ALG se registre al arrancar el sistema y reduce la superficie de ataque sin necesidad de sustituir el núcleo. Es necesario reiniciar el sistema.

Aplica la restricción y reinicia el sistema:

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

Tras reiniciar, comprueba que el parámetro aparece en la línea de comandos del núcleo activo:

sudo grubby --info=ALL | grep initcall_blacklist

Para revertir los cambios una vez aplicado el parche en tiempo real:

sudo grubby --update-kernel=ALL --remove-args="initcall_blacklist=algif_aead_init"
sudo reboot

Compatibilidad: Las compilaciones de dm-crypt / LUKS, kTLS, IPsec, SSH y las versiones predeterminadas de OpenSSL / GnuTLS no dependen de AF_ALG y no se ven afectadas. Solo las aplicaciones que utilizan explícitamente AF_ALG para los cifrados AEAD (por ejemplo, OpenSSL con el afalg motor habilitado, o descarga de cifrado por hardware a través de AF_ALG) se verán afectados.

Advertencia: la solución alternativa de «modprobe» no funciona

La solución que circula por oss-security, añadiendo install algif_aead /bin/false en un archivo dentro de /etc/modprobe.d/ y en marcha rmmod algif_aead, no funciona en las distribuciones de la familia RHEL (RHEL, CentOS, AlmaLinux, Rocky Linux, Oracle Linux, CloudLinux) ni en la mayoría de las demás distribuciones principales.

algif_aead está integrado en el núcleo (CONFIG_CRYPTO_USER_API_AEAD=y), así que modprobe.d las reglas no pueden impedir su carga y rmmod No se puede eliminar. Los comandos se ejecutan sin errores, pero no modifican el sistema, lo que da una falsa sensación de seguridad.

Puedes comprobar si el módulo está integrado en:

modinfo algif_aead | grep filename
# (builtin)

Utiliza el grubby-basada en la mitigación anterior.

Enlaces

• copy.fail — divulgación original
• Entrada de la NVD para CVE-2026-31431
• Reseña de Xint
• Hilo sobre la divulgación de información de seguridad de OSS
• Corrección en el código fuente (commit a664bf3d603d en el repositorio principal)

¿Aún no utilizas KernelCare?

KernelCare proporciona parches en tiempo real para vulnerabilidades CVE del núcleo a los sistemas en funcionamiento sin necesidad de reiniciar ni de ventanas de mantenimiento. El mismo modelo de implementación que permitió resolver la vulnerabilidad CVE-2026-31431 antes de que el proveedor publicara las correcciones se aplicará en adelante a todas las vulnerabilidades CVE de alta gravedad del núcleo.

Empieza ahora tu prueba gratuita