KnowSafe 安全预警：Linux Copy Fail 本地提权漏洞 (CVE-2026-31431)

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-31431 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Linux kernel 是开源操作系统内核，2026年4月，互联网上披露 CVE-2026-31431 Linux Copy Fail 本地提权漏洞。由于Linux 内核加密子系统 authencesn模块中存在逻辑缺陷，攻击者通过 AF_ALG 套接字暴露的内核加密 API，配合 splice()系统调用，可实现对 setuid 二进制文件（如 /usr/bin/su）页缓存的 4 字节任意写入，并最终导致本地提权。

影响范围

基于漏洞代码引入的时间，该漏洞影响 2017 年至补丁发布（commit a664bf3d603d ）前构建的Linux 内核版本。截止目前已确定利用成功的系统包括：

Ubuntu 24.04 LTS 6.17.0-1007-aws

Amazon Linux 2023 6.18.8-9.213.amzn2023

RHEL 10.1 6.12.0-124.45.1.el10_1

SUSE 16 6.12.0-160000.9-default

等等

影响范围

系统：alibaba_cloud_linux_2.1903 kernel（影响面 Up to (excluding) 4.19.91-28.5.al7）

系统：alibaba_cloud_linux_3 kernel（影响面 Up to (excluding) 5.10.134-19.5.al8）

系统：alibaba_cloud_linux_3_pro kernel（影响面 Up to (excluding) 5.10.134-014.1.ali5000.pro.al8）

系统：alma_linux_8 kernel（影响面 Up to (excluding) 4.18.0-553.123.1.rt7.464.el8_10）

系统：alma_linux_9 kernel（影响面 Up to (excluding) 5.14.0-611.54.1.el9_7）

系统：alpine_3.23 docker（影响面 Up to (excluding) 29.4.3-r0）

系统：alpine_3.24 docker（影响面 Up to (excluding) 29.4.3-r0）

系统：amazon_2 kernel（影响面 Up to (excluding) 4.14.355-281.727-1.0-0.amzn2）

……另有 43 项受影响环境，详见官方公告

解决方案

1、Linux内核官方已在 commit a664bf3d603d 中发布安全更新补丁。

2、针对已经正式发布安全版本及其补丁各 Linux 发行版（Ubuntu、RHEL、SUSE 等），云安全中心漏洞管理已经持续跟进并第一时间上线检测与修复规则。

3、云安全中心恶意脚本检测已支持对目前披露的漏洞利用POC进行落盘文件告警。

4、主机缓解措施：注该缓解措施不适用所有的linux发行版，部分发行版内核（例如 Centos 8.5 ）静态编译了相关模块，导致实际无法禁用。

Step1 潜在影响排查：例如排查是否存在启用了 afalg的 OpenSSL、直接绑定 aead/skcipher/hash socket 的进程应用等。可通过以下命令排查当前系统上是否有进程使用 AF_ALG

lsof | grep AF_ALG

ss -xa

Step 2 禁用 algif_aead模块：在确认无进程应用使用AF_ALG 后可执行以下命令以禁用 algif_aead模块，阻断漏洞利用路径，在执行命令前建议做好快照或者备份措施。

# 第一条命令永久禁用，重启后生效

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf

# 立即卸载，当前会话生效

rmmod algif_aead 2>/dev/null || true

5、容器沙箱环境缓解措：利用 seccomp 禁止容器内创建 AF_ALG socket ，以seccomp profile JSON 为例

{"defaultAction":"SCMP_ACT_ALLOW","syscalls":[{"names":["socket"],"action":"SCMP_ACT_ERRNO","errnoRet":1,"args":[{"index":0,"value":38,"op":"SCMP_CMP_EQ"}]}]}