CVE-2026-31431 Linux-sårbarhed forklaret

Introduktion

Microsoft har udgivet ny vejledning om CVE-2026-31431, også kaldet Copy Fail, en alvorlig Linux kernel-sårbarhed, der kan lade en lokal uprivilegeret bruger opnå root-adgang. For IT- og sikkerhedsteams, der kører Linux i cloud-, CI/CD- og Kubernetes-miljøer, er dette en højt prioriteret sag, fordi et enkelt fodfæste kan føre til kompromittering af værten.

Hvad er nyt

CVE-2026-31431 er en local privilege escalation-sårbarhed i Linux kernelens kryptografiske subsystem, specifikt algif_aead-modulet i AF_ALG userspace crypto API.

Vigtige detaljer fra Microsoft:

• Påvirker mange store Linux-distributioner, herunder Ubuntu, Red Hat, SUSE, Amazon Linux, Debian, Fedora og Arch
• Påvirker kerner udgivet fra 2017 og frem indtil patched versioner er installeret
• Har en CVSS-score på 7.8 (High)
• Kræver kun lokal kodekørsel som en ikke-privilegeret bruger
• Kan bruges til at korrumpere page cache for læsbare filer, herunder setuid-binære filer
• Kan muliggøre container escape, multi-tenant-kompromittering og lateral movement

Microsoft bemærker, at selv om udbredt udnyttelse i den virkelige verden stadig er begrænset, er et fungerende proof of concept offentligt tilgængeligt, og tidlig testaktivitet er allerede observeret. Sårbarheden er også blevet tilføjet til CISA Known Exploited Vulnerabilities-kataloget, hvilket øger behovet for hurtig handling hos forsvarere.

Hvorfor dette er vigtigt for administratorer

Denne sårbarhed er især vigtig i miljøer, hvor upålidelig kode kan køre:

• Kubernetes-klynger
• Delte Linux-værter
• CI/CD-runners
• Containeriserede workloads
• Multi-tenant cloud-infrastruktur

Fordi containere deler værtens kernel, kan udnyttelse inde fra en container potentielt påvirke hele noden. Det gør enhver container-RCE eller low-privilege shell langt mere alvorlig end normalt.

Anbefalede handlinger

Sikkerheds- og infrastrukturteams bør prioritere følgende trin:

1. Kortlæg berørte Linux-systemer på tværs af servere, cloud workloads, containere og Kubernetes-noder.
2. Anvend leverandørpatches med det samme, hvor de er tilgængelige.
3. Hvis patches endnu ikke er tilgængelige, brug midlertidige mitigations som:
   • Blokering eller deaktivering af AF_ALG socket creation
   • Stramning af lokale adgangskontroller
   • Anvendelse af network isolation, hvor det er relevant
4. Gennemgå logs og detection telemetry for tegn på udnyttelse eller mistænkelig local privilege escalation-aktivitet.
5. Behandl enhver container compromise som potentiel host compromise og overvej hurtig genoprettelse af noder efter indikatorer på angreb.

Næste skridt

Organisationer, der bruger Microsoft Defender XDR, bør gennemgå tilgængelige detections og hunting guidance fra Microsoft. Givet bredden af eksponeringen og tilgængeligheden af exploit-kode er dette en sårbarhed, som Linux- og cloudadministratorer bør håndtere straks som en del af emergency patching og incident readiness-workflows.