CVE-2026-31431 (Échec de copie) : publication des correctifs en direct KernelCare

CVE-2026-31431 (« Copy Fail ») est une faille de l'élevation locale des privilèges dans le noyau Linux au sein du algif_aead module (AF_ALG). Tout utilisateur local sans privilèges peut obtenir les droits root à l'aide d'un exploit Python de 732 octets. Tous les noyaux depuis 2017 sont concernés.

Les ingénieurs de KernelCare ont validé le correctif face à l'exploit publié sur AlmaLinux 9.6-FIPS et Oracle UEK7, puis ont publié des correctifs en direct pour les systèmes d'exploitation énumérés ci-dessous. Les clients n'ont pas besoin de prévoir une fenêtre de maintenance ni d'attendre la prochaine errata du fournisseur. Le correctif s'applique au noyau en cours d'exécution et prend effet sans redémarrage.

Contexte : copy.fail · Rapport Xint · NVD · Correction en amont

Pourquoi c'est urgent

Cet exploit est de petite taille (732 octets), accessible au public et fiable. Il exploite une faille introduite en amont en 2017 ; les systèmes concernés comprennent donc RHEL, CentOS, AlmaLinux, Rocky Linux, Oracle Linux, Ubuntu, Debian, Proxmox VE et CloudLinux exécutant des noyaux pris en charge. La chaîne d'exploitation consiste en une élévation de privilèges locale vers le niveau root, sans aucune exigence d'authentification.

Sur tout système où des utilisateurs non fiables peuvent exécuter du code (hébergement mutualisé, plateformes multi-locataires, environnements d'intégration continue, hôtes de conteneurs où les échappements de données constituent un risque), cette vulnérabilité doit être traitée comme un incident nécessitant une mise à jour le jour même.

Correctifs en temps réel KernelCare : disponibles dès maintenant, sans redémarrage

L'équipe d'ingénierie de KernelCare a identifié l'ensemble complet des correctifs (trois commits en amont, et pas seulement le algif_aead (revert), l'a validée par rapport à l'exploit publié sur AlmaLinux 9.6-FIPS et Oracle UEK7, et a déployé des correctifs en direct sur toutes les distributions prises en charge avant la publication des errata des éditeurs. Les clients reçoivent automatiquement le correctif lors de leur prochaine kcarectl --update.

Des correctifs en direct pour la vulnérabilité CVE-2026-31431 sont disponibles pour les systèmes d'exploitation suivants :

• Almalinux 8
• Almalinux 9
• cloudlinux7h
• CloudLinux 8
• CentOS 8
• Red Hat 8
• Red Hat 9
• proxmox-ve-7-5.15
• ubuntu-focal-lts-jammy-aws
• ubuntu-focal-lts-jammy
• ubuntu-focal-lts-jammy-azure
• ubuntu-jammy-aws
• ubuntu-jammy-azure
• ubuntu-jammy
• ubuntu-bionic-lts-focal
• ubuntu-bionic-lts-focal-aws
• ubuntu-focal-azure
• ubuntu-focal-aws
• ubuntu-focal
• rockylinux8
• rockylinux9
• oraclelinux8
• oraclelinux8-uek6
• oraclelinux7-uek6
• oraclelinux9
• Debian 11
• debian12

Les ELS pour les noyaux FIPS sont également pris en charge

Les noyaux certifiés FIPS de TuxCare pour AlmaLinux 9.2 et 9.6, bénéficiant d'un support à vie (Endless Lifecycle Support), ont également été corrigés. Les clients ELS-FIPS reçoivent le correctif via le même flux KernelCare (versions K20260430_13 et K20260430_07 respectivement) sans qu'aucune action supplémentaire ne soit requise.

Ce que les clients de KernelCare doivent faire

Dans la plupart des cas, rien. Si kcarectl Si la mise à jour automatique est activée (par défaut), le correctif est récupéré et appliqué lors de la prochaine interrogation planifiée. Pour l'appliquer immédiatement :

kcarectl --update

Comment vérifier que vous disposez bien des derniers correctifs

Vérifiez que le patch en direct est bien chargé :

kcarectl --patch-info | grep -i 'CVE-2026-31431\|algif_aead\|copy.fail'

Une correspondance confirme la protection. La chaîne de caractères indiquant la version du noyau renvoyée par uname -r Cela ne change pas avec KernelCare, car le noyau en cours d'exécution est corrigé en mémoire plutôt que remplacé sur le disque.

Solution provisoire (si vous ne pouvez pas effectuer la mise à jour immédiatement)

Si l'application du correctif en direct KernelCare n'est pas possible pour le moment, vous pouvez mettre sur liste noire le algif_aead initcall via grubby. Cela empêche l'interface AEAD AF_ALG d'être enregistrée au démarrage et réduit la surface d'attaque sans nécessiter de remplacer le noyau. Un redémarrage est nécessaire.

Appliquez la restriction et redémarrez :

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

Après le redémarrage, vérifiez que le paramètre figure bien dans la ligne de commande du noyau actif :

sudo grubby --info=ALL | grep initcall_blacklist

Pour revenir en arrière une fois le correctif en direct appliqué :

sudo grubby --update-kernel=ALL --remove-args="initcall_blacklist=algif_aead_init"
sudo reboot

Compatibilité : dm-crypt / LUKS, kTLS, IPsec, SSH et les versions par défaut d'OpenSSL / GnuTLS ne dépendent pas de AF_ALG et ne sont pas affectées. Seules les applications qui utilisent explicitement AF_ALG pour les algorithmes de chiffrement AEAD (par exemple, OpenSSL avec le afalg moteur activé, ou déchargement cryptographique matériel via AF_ALG) seront touchés.

Attention : la solution de contournement avec modprobe ne fonctionne pas

La solution de contournement qui circule sur oss-security, ajoutant install algif_aead /bin/false dans un fichier situé sous /etc/modprobe.d/ et en cours rmmod algif_aead, ne fonctionne pas sur les distributions de la famille RHEL (RHEL, CentOS, AlmaLinux, Rocky Linux, Oracle Linux, CloudLinux) ni sur la plupart des autres distributions majeures.

algif_aead est intégré au noyau (CONFIG_CRYPTO_USER_API_AEAD=y), donc modprobe.d les règles ne peuvent pas empêcher son chargement et rmmod Il est impossible de le supprimer. Les commandes s'exécutent sans erreur, mais ne modifient en rien le système, donnant ainsi un faux sentiment de sécurité.

Vous pouvez vérifier que le module est bien intégré :

modinfo algif_aead | grep filename
# (builtin)

Utiliser le grubby- opter plutôt pour les mesures d'atténuation décrites ci-dessus.

Liens

• copy.fail — divulgation initiale
• Entrée NVD pour CVE-2026-31431
• Présentation de Xint
• Fil de discussion sur les failles de sécurité d'OSS
• Correction en amont (commit a664bf3d603d sur la branche principale)

Vous n'utilisez pas encore KernelCare ?

KernelCare fournit des correctifs en temps réel pour les vulnérabilités CVE du noyau aux systèmes en cours d'exécution, sans redémarrage ni fenêtre de maintenance. Le même modèle de déploiement qui a permis de corriger la vulnérabilité CVE-2026-31431 avant même la publication des errata par les éditeurs s'appliquera désormais à toutes les vulnérabilités CVE du noyau présentant un niveau de gravité élevé.

Commencez dès maintenant votre essai gratuit