Závažná zranitelnost v linux kernelu (CVE-2026-31431) "Copy Fail"

Z Helpdesk

Dne 30. 4. 2026 byla zveřejněna závažná zranitelnost CVE-2026-31431 (Copy Fail) v Linux kernelu, která umožňuje lokálnímu přihlášenému uživateli eskalovat svá práva na root v operačním systému Linux.

Popis zranitelnosti

Zranitelnost se nachází v implementaci kryptografického rozhraní (AF_ALG) a souvisí s nesprávnou manipulací s pamětí při kopírování dat. V určitých scénářích dochází k chybné „in-place“ operaci nad různými paměťovými mappingy, což umožňuje neprivilegovanému uživateli provést omezený zápis do page cache kernelu. Tato zranitelnost postihuje všechny verze Kernelu cca. od roku 2017 obsahující danou funkcionalitu.

Vše je popsáno zde: https://copy.fail/

Informace na root.cz: https://www.root.cz/zpravicky/copy-fail-devet-let-stara-dira-umoznuje-ziskat-roota-ve-vsech-distribucich/

Ke zranitelnosti již existuje Proof-of-concept (PoC) exploit a aktivně jí útočníci mohou používat.

Ohrožené systémy

Ohroženy jsou systémy, kde mají neprivilegovaní uživatelé možnost lokálního přístupu (např. SSH přístup, CI/CD běhy jako GitLab Runner apod.).

Doporučená opatření

  • Aktualizace kernelu (bohužel není v tuto chvíli k dispozici, doporučujeme ověřit pro konkrétní distribuci).
  • Mitigace
    • Omezit nebo zakázat použití AF_ALG (např. blacklist příslušných modulů).
echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf
rmmod algif_aead 2>/dev/null || true
    • Omezit přístup neprivilegovaných uživatelů k systému (SSH, shell účty apod.).
    • Zvážit použití bezpečnostních politik (SELinux / AppArmor).
  • Další hardening
    • Používat mount options jako „nosuid“ tam, kde je to možné.

Ověření kompromitace

V syslogu je řádek 

"Registered PF_ALG protocol family"

případně 

"process 'su' launched '/bin/sh' with NULL argv: empty string added"
Citováno z „https://helpdesk.zcu.cz/index.php?title=Závažná_zranitelnost_v_linux_kernelu_(CVE-2026-31431)_%22Copy_Fail%22&oldid=69069“