CVE-2026-31431 (Falha na cópia): Lançamento das correções dinâmicas do KernelCare

CVE-2026-31431 (“Copy Fail”) é uma vulnerabilidade de escalonamento de privilégios local no kernel do Linux no algif_aead módulo (AF_ALG). Qualquer usuário local sem privilégios pode obter acesso como root por meio de um exploit em Python de 732 bytes. Todos os kernels lançados desde 2017 estão afetados.

A equipe de engenharia da KernelCare validou a correção contra a vulnerabilidade divulgada no AlmaLinux 9.6-FIPS e no Oracle UEK7 e, em seguida, lançou patches em tempo real para os sistemas operacionais listados abaixo. Os clientes não precisam agendar uma janela de manutenção nem aguardar a próxima errata do fornecedor. O patch se aplica ao kernel em execução e entra em vigor sem a necessidade de reinicialização.

Contexto: copy.fail · Relatório do Xint · NVD · Correção no código-fonte original

Por que isso é urgente

A vulnerabilidade é pequena (732 bytes), está disponível publicamente e é confiável. Ela tem como alvo uma falha introduzida no código-fonte original em 2017; portanto, o conjunto de sistemas afetados inclui RHEL, CentOS, AlmaLinux, Rocky Linux, Oracle Linux, Ubuntu, Debian, Proxmox VE e CloudLinux que executam kernels compatíveis. A via de comprometimento consiste em uma escalada de privilégios direta de usuário local para root, sem necessidade de autenticação.

Em qualquer sistema em que usuários não confiáveis possam executar código (hospedagem compartilhada, plataformas multilocatárias, executores de CI, hosts de contêineres onde há risco de fuga de dados), isso deve ser tratado como um evento que exige a aplicação de patches no mesmo dia.

Patches dinâmicos do KernelCare: já disponíveis, sem necessidade de reinicialização

A equipe de engenharia da KernelCare identificou o conjunto completo de correções (três commits do upstream, não apenas o algif_aead reverter), validamos a correção em relação ao exploit publicado no AlmaLinux 9.6-FIPS e no Oracle UEK7 e implementamos patches em tempo real em todas as distribuições compatíveis antes da publicação das erratas dos fornecedores. Os clientes recebem a correção automaticamente na próxima kcarectl --update.

Foram lançadas correções imediatas para a vulnerabilidade CVE-2026-31431 para os seguintes sistemas operacionais:

• almalinux8
• almalinux9
• cloudlinux7h
• cloudlinux8
• CentOS 8
• redhat8
• redhat9
• proxmox-ve-7-5.15
• ubuntu-focal-lts-jammy-aws
• ubuntu-focal-lts-jammy
• ubuntu-focal-lts-jammy-azure
• ubuntu-jammy-aws
• ubuntu-jammy-azure
• ubuntu-jammy
• ubuntu-bionic-lts-focal
• ubuntu-bionic-lts-focal-aws
• ubuntu-focal-azure
• ubuntu-focal-aws
• ubuntu-focal
• rockylinux8
• rockylinux9
• oraclelinux8
• oraclelinux8-uek6
• oraclelinux7-uek6
• oraclelinux9
• debian11
• debian12

Os ELS para kernels FIPS também são abordados

Os kernels com suporte de ciclo de vida ilimitado (ELS) da TuxCare, validados pela FIPS, para o AlmaLinux 9.2 e 9.6 também receberam as correções. Os clientes do ELS-FIPS recebem a correção por meio do mesmo canal do KernelCare (versões K20260430_13 e K20260430_07, respectivamente), sem a necessidade de nenhuma ação adicional.

O que os clientes da KernelCare precisam fazer

Na maioria dos casos, nada. Se kcarectl Se a atualização automática estiver ativada (configuração padrão), o patch será baixado e aplicado na próxima consulta programada. Para aplicá-lo imediatamente:

kcarectl --update

Como verificar se você está com as atualizações instaladas

Confirme se o patch ativo está carregado:

kcarectl --patch-info | grep -i 'CVE-2026-31431\|algif_aead\|copy.fail'

Uma entrada correspondente confirma a proteção. A sequência de caracteres da versão do kernel retornada por uname -r isso não muda com o KernelCare, já que o kernel em execução é corrigido na memória, em vez de ser substituído no disco.

Medida temporária de mitigação (caso não seja possível atualizar imediatamente)

Se não for possível aplicar o patch dinâmico do KernelCare neste momento, você pode colocar na lista negra o algif_aead initcall via grubby. Isso impede que a interface AEAD AF_ALG seja registrada na inicialização e reduz a superfície de ataque sem a necessidade de substituir o kernel. É necessário reiniciar o sistema.

Aplique a restrição e reinicie o sistema:

sudo grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
sudo reboot

Após a reinicialização, verifique se o parâmetro está presente na linha de comando ativa do kernel:

sudo grubby --info=ALL | grep initcall_blacklist

Para reverter após a aplicação do patch em produção:

sudo grubby --update-kernel=ALL --remove-args="initcall_blacklist=algif_aead_init"
sudo reboot

Compatibilidade: O dm-crypt / LUKS, o kTLS, o IPsec, o SSH e as compilações padrão do OpenSSL / GnuTLS não dependem de AF_ALG e não são afetadas. Apenas os aplicativos que utilizam explicitamente AF_ALG para cifras AEAD (por exemplo, o OpenSSL com a afalg motor ativado ou descarregamento de criptografia por hardware por meio de AF_ALG) serão afetados.

Aviso: a solução alternativa com o `modprobe` não funciona

A medida de mitigação que está circulando no oss-security, acrescentando install algif_aead /bin/false para um arquivo na pasta /etc/modprobe.d/ e em andamento rmmod algif_aead, não funciona em distribuições da família RHEL (RHEL, CentOS, AlmaLinux, Rocky Linux, Oracle Linux, CloudLinux) nem na maioria das outras distribuições importantes.

algif_aead está integrado ao kernel (CONFIG_CRYPTO_USER_API_AEAD=y), portanto modprobe.d as regras não podem impedir seu carregamento e rmmod não é possível removê-lo. Os comandos são executados sem erros, mas não alteram o sistema, dando uma falsa sensação de proteção.

Você pode verificar se o módulo foi compilado da seguinte forma:

modinfo algif_aead | grep filename
# (builtin)

Use o grubby- em vez disso, as medidas de mitigação mencionadas acima.

Links

• copy.fail — divulgação original
• Entrada no NVD para CVE-2026-31431
• Artigo sobre a Xint
• Tópico sobre divulgação de vulnerabilidades do oss-security
• Correção no upstream (commit a664bf3d603d no branch principal)

Ainda não está usando o KernelCare?

O KernelCare fornece patches em tempo real para CVEs do kernel a sistemas em execução, sem necessidade de reinicialização e sem janela de manutenção. O mesmo modelo de fornecimento que corrigiu o CVE-2026-31431 antes mesmo da publicação das erratas dos fornecedores se aplica a todos os CVEs de alta gravidade do kernel daqui em diante.

Comece agora um teste gratuito